Accesul neautorizat la informații este familiarizarea neprogramată, prelucrarea, copierea, utilizarea diverșilor viruși, inclusiv cei care distrug produse software, precum și modificarea sau distrugerea informațiilor cu încălcarea regulilor stabilite de control al accesului.

Prin urmare, la rândul său, protecția informațiilor împotriva accesului neautorizat este menită să împiedice un atacator să acceseze purtătorul de informații. Există trei domenii principale în protejarea informațiilor despre computer și rețea împotriva accesului neautorizat:

- se concentrează pe prevenirea accesului intrusului în mediul de calcul și se bazează pe special mijloace tehnice ah identificarea utilizatorului;

- este asociat cu protecția mediului de calcul și se bazează pe crearea unui special software;

- asociat cu utilizarea mijloace speciale protecția informațiilor computerului împotriva accesului neautorizat.

Trebuie avut în vedere faptul că diferite tehnologii și mijloace diferite sunt folosite pentru a rezolva fiecare dintre probleme. Cerințele pentru echipamentele de protecție, caracteristicile acestora, funcțiile pe care le îndeplinesc și clasificarea lor, precum și termenii și definițiile de protecție împotriva accesului neautorizat sunt date în documentele de reglementare ale Comisiei Tehnice de Stat:

– „Sisteme automatizate. Protecție împotriva accesului neautorizat la informații. Clasificare AS și cerințe de protecție a informațiilor”;

- „Facilități informatică. Protecție împotriva accesului neautorizat la informații. Indicatori de securitate față de accesul neautorizat la informații”;

- „Protecție împotriva accesului neautorizat la informații. Termeni și definiții". Mijloacele tehnice care implementează funcțiile de protecție pot fi împărțite în:

o încorporat;

o externă.

Mijloacele încorporate de protejare a unui computer personal și a unui software (Fig. 3.12) includ protecția cu parolă pentru BIOS, sistemul de operare și DBMS. Aceste instrumente pot fi sincer slabe - BIOS cu parolă de supervizor, protecție prin parolă Win95/98, dar pot fi și mult mai puternice - BIOS fără parole de supervizor, protecție cu parolă Windows NT, ORACLE DBMS. Utilizare punctele forte aceste instrumente pot consolida semnificativ sistemul de protecție a informațiilor împotriva accesului neautorizat.

Uneltele externe sunt concepute pentru a înlocui instrumentele încorporate pentru a spori protecția sau pentru a le completa cu funcții lipsă.

Acestea includ:

– hardware de boot de încredere;

– complexe hardware-software pentru împărțirea drepturilor de acces utilizatorilor;

– mijloace de autentificare puternică a conexiunilor de rețea.

Hardware-ul de pornire de încredere este un produs, denumit uneori „blocare electronică”, ale cărui funcții sunt de a identifica în siguranță utilizatorul, precum și de a verifica integritatea software-ului computerului. De obicei, aceasta este o placă de expansiune pentru computerul personal, cu software-ul necesar stocat fie în memoria Flash a plăcii, fie pe hard disk-ul computerului.

Principiul acțiunii lor este simplu. În timpul procesului de pornire, pornesc BIOS-ul și plăcile de protecție anti-manipulare. Sosește ID-ul utilizatorului și îl compară cu cel stocat în memoria flash a cardului. Identificatorul poate fi protejat suplimentar cu o parolă. Apoi pornește sistemul de operare încorporat al plăcii sau al computerului (cel mai adesea aceasta este o variantă de MS-DOS), după care pornește verificarea integrității software. De regulă, sunt verificate zonele de sistem ale discului de pornire, fișierele de boot și fișierele specificate de utilizator pentru verificare. Verificarea este efectuată fie pe baza inserării imitate a algoritmului GOST 28147-89, fie pe baza funcției de hashing a algoritmului GOST R 34.11-34 sau a altui algoritm. Rezultatul testului este comparat cu cel stocat în memoria flash a cardului. Dacă, ca rezultat al comparației, la verificarea identificatorului sau a integrității sistemului, este dezvăluită o diferență cu standardul, atunci placa va bloca munca in continuare, și afișați mesajul corespunzător pe ecran. Dacă verificările sunt pozitive, atunci placa transferă controlul către computerul personal pentru încărcarea ulterioară a sistemului de operare.

Toate verificările de identificare și integritate sunt înregistrate. Beneficiile dispozitivului această clasă- fiabilitatea lor ridicată, simplitatea și prețul scăzut. În absența lucrului multi-utilizator pe computer, funcțiile de protecție ale acestui instrument sunt de obicei suficiente.

Sistemele hardware-software pentru separarea drepturilor de acces sunt utilizate atunci când mai mulți utilizatori lucrează pe același computer, dacă sarcina este să-și separe drepturile de acces reciproc la datele. Soluția la această problemă se bazează pe: 01 interzicerea utilizatorilor să lanseze anumite aplicații și procese; Q Permite utilizatorilor și aplicațiilor pe care le execută doar un anumit tip de acțiune de date.

Se realizează implementarea interdicțiilor și a permisiunilor căi diferite. De regulă, în procesul de pornire a sistemului de operare este lansat și programul de protecție împotriva accesului neautorizat. Este prezent în memoria computerului ca modul rezident și controlează acțiunile utilizatorului pentru a lansa aplicații și a accesa date. Toate acțiunile utilizatorului sunt înregistrate într-un jurnal care este disponibil numai pentru administratorul de securitate. Sub mijloacele acestei clase, ei înțeleg de obicei mijloacele de protecție împotriva accesului neautorizat. Sunt complexe hardware-software constând dintr-o parte hardware - o placă de pornire de încredere a computerului, care verifică acum în plus integritatea software-ului sistemului anti-manipulare pe hard disk și o parte software - un program de administrator, un rezident. modul. Aceste programe se află într-un director special și sunt disponibile numai pentru administrator. Aceste sisteme pot fi utilizate și într-un sistem cu un singur utilizator pentru a restricționa utilizatorul să instaleze și să ruleze programe de care nu are nevoie în munca sa.

Instrumentele puternice de autentificare a conexiunii la rețea sunt utilizate atunci când funcționarea stațiilor de lucru în cadrul unei rețele impune cerințe pentru a proteja resursele stației de lucru de amenințarea accesului neautorizat la stația de lucru din rețea și de modificări ale informațiilor sau ale software-ului, precum și de lansarea unui proces neautorizat. . Protecția împotriva accesului neautorizat din rețea se realizează prin intermediul unei autentificări puternice conexiuni de retea. Această tehnologie se numește tehnologie de rețea privată virtuală.

Una dintre principalele sarcini de protecție împotriva accesului neautorizat este de a oferi o identificare fiabilă a utilizatorului (Fig. 3.13) și capacitatea de a autentifica orice utilizator de rețea care poate fi identificat în mod unic prin faptul că:

- se reprezintă pe sine.

Ce știe utilizatorul? Numele și parola dvs. Schemele de autentificare prin parolă se bazează pe aceste cunoștințe. Dezavantajul acestor scheme este că trebuie să-și amintească parole complexe, ceea ce de multe ori nu se întâmplă: fie parola este aleasă slabă, fie este pur și simplu notă într-un caiet, pe o foaie de hârtie etc. În cazul folosind doar protecția cu parolă, se iau măsuri corespunzătoare pentru a asigura gestionarea parolelor de creare, stocarea acestora, pentru a monitoriza expirarea utilizării și eliminarea în timp util. Închiderea criptografică a parolelor poate rezolva în mare măsură această problemă și poate face mai greu pentru un atacator să ocolească mecanismul de autentificare.

Ce poate avea un utilizator? Desigur, o cheie specială este un identificator unic, cum ar fi o tabletă cu memorie tactilă (butonul I), un e-token, un card inteligent sau o cheie criptografică pe care este criptată intrarea sa în baza de date a utilizatorilor. Un astfel de sistem este cel mai stabil, cu toate acestea, necesită ca utilizatorul să aibă întotdeauna la el un identificator, care este cel mai adesea atașat la brelocul de chei și este fie adesea uitat acasă, fie pierdut. Va fi corect dacă administratorul emite identificatori dimineața și scrie despre asta într-un jurnal și le ia înapoi pentru depozitare seara, făcând din nou o înregistrare în jurnal.

Ce este un utilizator? Acestea sunt caracteristicile care sunt inerente doar acestui utilizator, doar lui, oferind identificarea biometrică. Un identificator poate fi o amprentă, un model de iris, o amprentă a palmei etc. În prezent, aceasta este direcția cea mai promițătoare în dezvoltarea instrumentelor de identificare. Sunt fiabile și, în același timp, nu necesită ca utilizatorul să aibă cunoștințe suplimentare despre ceva sau să dețină permanent ceva. Odată cu dezvoltarea tehnologiei și costul acestor fonduri devine disponibil pentru fiecare organizație.

Verificarea garantată a identității utilizatorului este sarcina diferitelor mecanisme de identificare și autentificare.

Fiecărui utilizator (grup de utilizatori) al rețelei i se atribuie o caracteristică distinctivă specifică - un identificator și este comparat cu lista aprobată. Cu toate acestea, doar identificatorul declarat în rețea nu poate oferi protecție împotriva conexiunii neautorizate fără a verifica identitatea utilizatorului.

Procesul de verificare a identității utilizatorului se numește autentificare. Are loc cu ajutorul unei caracteristici distinctive speciale prezentate de utilizator - un autentificator, inerent acestuia. Eficacitatea autentificării este determinată, în primul rând, de caracteristicile distinctive ale fiecărui utilizator.

Mecanismele specifice de identificare și autentificare în rețea pot fi implementate pe baza următoarelor instrumente și proceduri de securitate a informațiilor:

– parole;

- mijloace tehnice;

– mijloace de biometrie;

– criptografie cu chei unice pentru fiecare utilizator.

Problema aplicabilității unuia sau altuia se decide în funcție de amenințările identificate, de caracteristicile tehnice ale obiectului protejat. Nu se poate afirma fără echivoc că utilizarea hardware-ului folosind criptografia va oferi sistemului o fiabilitate mai mare decât utilizarea software-ului.

Analiza securității unui obiect informațional și identificarea amenințărilor la adresa securității acestuia este o procedură extrem de complexă. O procedură la fel de complicată este alegerea tehnologiilor și a mijloacelor de protecție pentru eliminarea amenințărilor identificate. Este mai bine să încredințați soluția acestor probleme unor specialiști cu experiență bogată.

Protecția împotriva accesului neautorizat (protecția împotriva accesului neautorizat) reprezintă prevenirea sau împiedicarea semnificativă a accesului neautorizat.

Mijloacele de protecție a informațiilor împotriva accesului neautorizat (ISZ de la NSD) este un software, hardware sau software și instrument hardware conceput pentru a preveni sau împiedica în mod semnificativ accesul neautorizat.

Numirea și clasificare generala SZI.

IMS de la NSD poate fi împărțit în soluții universale și specializate (în funcție de domeniul de aplicare), private și complexe (în funcție de setul de sarcini de rezolvat), instrumente de sistem încorporate și altele suplimentare (în funcție de metoda de implementare).

Clasificarea este extrem de importantă, deoarece atunci când construiesc o facilitate de securitate a informațiilor de fiecare tip, dezvoltatorii formulează și decid absolut sarcini diferite(uneori contradictoriu). Astfel, conceptul de protecție a universalului instrumente de sistem sunt stabilite principii încredere deplină utilizatorului”, protecția acestora este în mare măsură inutilă sisteme corporative, de exemplu, la rezolvarea problemelor de contracarare a amenințărilor IT interne. În marea majoritate a zilelor noastre, instrumentele de securitate a informațiilor sunt create pentru a consolida mecanismele de protecție încorporate în sistemele de operare universale, în raport cu utilizarea în mediul corporativ. Dacă vorbim de totalitatea sarcinilor de rezolvat, atunci aici ar trebui să vorbim despre integrarea mecanismelor, atât din punct de vedere al solutie eficienta sarcina specifica protecție, și în ceea ce privește rezolvarea unui complex de sarcini.

Proprietățile consumatorului (numirea) sistemului suplimentar de securitate a informațiilor de la NSD sunt determinate de măsura în care instrumentul suplimentar elimină deficiențele arhitecturale ale mecanismelor de protecție încorporate în sistemul de operare, în legătură cu rezolvarea sarcinilor necesare în aplicațiile corporative și cât de cuprinzător (în mod eficient) rezolvă acest set de sarcini de protecție a informațiilor.

Probleme de evaluare a eficacității sistemului de securitate a informațiilor din NSD

Eficacitatea sistemului de securitate a informațiilor împotriva UA poate fi evaluată prin examinarea aspectelor legate de corectitudinea implementării mecanismelor de protecție și de suficiența unui set de mecanisme de protecție în raport cu condițiile practice de utilizare.

Evaluarea corectitudinii implementarii mecanismelor de protectie

La prima vedere, o astfel de evaluare este ușor de făcut, dar în practică nu este întotdeauna cazul. Un exemplu: în fișier NTFS obiectul poate fi identificat în diverse moduri: pentru a înregistra obiectele date de nume lungi, tu poti contacta nume scurt(de exemplu, directorul „Fișiere de program” poate fi menționat prin numele scurt „Progra~1”), iar unele programe se referă la obiecte fișier nu prin nume, ci prin ID. Dacă sistemul de securitate a informațiilor instalat în sistemul informațional nu interceptează și analizează doar unul mod similar accesarea unui obiect fișier, atunci în general, devine complet inutil (mai devreme sau mai târziu, atacatorul va face acest neajuns echipament de protecție și folosiți-l). De asemenea, menționăm că obiectele fișier care nu sunt partajate între utilizatorii sistemului și aplicațiilor pot servi drept „canal” pentru downgrade-ul unui document, ceea ce anulează protecția informațiilor confidențiale. Există multe astfel de exemple.

Cerințele pentru corectitudinea implementării mecanismelor de protecție sunt definite în documentul de reglementare „Comisia tehnică de stat a Rusiei. Document de orientare. Dotări informatice. Protecție împotriva accesului neautorizat la informații. Indicatori de securitate de la NSD la informații”; este utilizat în certificarea facilităţilor de securitate a informaţiilor de la NSD.

Aceste cerințe sunt prezente în document în măsura în care este necesar, sunt corecte, dar formulate într-un mod general (cum ar putea fi altfel, altfel ar fi necesar să se creeze propriul document de reglementare pentru fiecare familie de sisteme de operare și, eventual, pentru fiecare sistem de operare). implementarea unei singure familii), iar pentru îndeplinirea unei cerințe poate fi necesară implementarea mai multor mecanisme de protecție. Consecința acestui fapt este ambiguitatea în interpretarea acestor cerințe (în ceea ce privește abordările implementării lor) și posibilitatea unor abordări fundamental diferite ale implementării mecanismelor de protecție în sistemul de securitate a informațiilor de accesul neautorizat al dezvoltatorilor. Rezultatul este o eficiență diferită a sistemului de securitate a informațiilor față de NSD pentru producătorii care implementează aceleași cerințe formalizate. Dar nerespectarea oricăreia dintre aceste cerințe poate anula toate eforturile de asigurare securitatea informatiei.

Evaluarea suficienței (completitudinii) unui set de mecanisme de protecție

Cerințele pentru suficiența (completitudinea, în raport cu condițiile de utilizare) a setului de mecanisme de protecție sunt definite de documentul „Comisia tehnică de stat a Rusiei. Document de orientare. Sisteme automatizate. Protecție împotriva accesului neautorizat la informații. Indicatori de securitate de la NSD la informații”, care este utilizat în certificarea obiectelor de informatizare, inclusiv la utilizarea în AS IPS de la NSD. Totuși, aici situația este în mare măsură similară cu cea descrisă mai sus.

Astfel, ar fi indicat să se extindă formularea cerinței de suficiență a mecanismelor în facilitatea de securitate a informațiilor de la NSD pentru protejarea datelor confidențiale din documentele de reglementare, în care există o ambiguitate în stabilirea a ceea ce se atribuie resurselor protejate, ar fi este recomandabil să se extindă, de exemplu, după cum urmează: „Conexiunea resurselor ar trebui controlată, în special dispozitivele, în conformitate cu condițiile uz practic protejat facilitate de calcul, și controlul accesului subiecților la resursele protejate, în special, la dispozitivele permise pentru conectare”.

Rețineți că mecanismele de control al accesului la resursele care sunt întotdeauna prezente în sistem - obiecte fișier, obiecte registry OS etc. - protejate a priori, și trebuie să fie prezente în facilitatea de securitate a informațiilor de la UA în orice caz, și ca și pentru resurse externe, luând în considerare apoi scopul facilității de securitate a informațiilor. Dacă scopul sistemului de securitate a informațiilor este de a proteja computerele din rețea, atunci acesta trebuie să aibă mecanisme de control al accesului la resursele rețelei; dacă servește la protejarea computerelor de sine stătătoare, atunci ar trebui să asigure controlul (interzicerea) conectării resurselor de rețea la computer. Această regulă, în opinia noastră, este potrivită fără excepție pentru toate resursele și poate fi folosită ca o cerință de bază pentru un set de mecanisme de protecție la atestarea obiectelor de informatizare.

Problemele de suficiență a mecanismelor de protecție ar trebui luate în considerare nu numai în raport cu setul de resurse, ci și în raport cu sarcinile de protecție a informațiilor care se rezolvă. Există doar două sarcini similare în asigurarea securității computerelor - contracararea amenințărilor IT interne și externe.

Sarcina generală de contracarare a amenințărilor IT interne este de a asigura diferențierea accesului la resurse în conformitate cu cerințele de prelucrare a datelor de diferite categorii de confidențialitate. Posibil abordări diferite la sarcina distincţiilor: pe conturi, pe procese, pe baza categoriei documentului citit. Fiecare dintre ele își stabilește propriile cerințe de suficiență. Deci, în primul caz, trebuie să izolați clipboard-ul între utilizatori; în al doilea - între procese; pentru cel de-al treilea caz, în general este necesară revizuirea radicală a întregii politici de delimitare a accesului la toate resursele, întrucât același utilizator cu aceeași aplicație poate prelucra date de diferite categorii de confidențialitate.

Există zeci de modalități de schimb interprocese (conducte numite, sectoare de memorie etc.), așa că este necesar să se asigure închiderea mediului software - pentru a preveni posibilitatea lansării unui program care implementează un astfel de canal de schimb. Există, de asemenea, probleme de resurse care nu sunt partajate de sistem și aplicații, controlul asupra corectitudinii identificării subiectului accesului, protecția IPS-ului însuși împotriva accesului neautorizat (lista mecanismelor de protecție necesare pentru rezolvarea eficientă a acestei probleme este foarte impresionant). Cele mai multe dintre ele nu sunt specificate în mod explicit în documentele de reglementare.

Sarcina de a contracara eficient amenințările IT externe, în opinia noastră, poate fi rezolvată numai dacă este stabilită o politică de delimitare pentru subiectul „proces” (adică „procesul” ar trebui considerat ca subiect independent al accesului la resurse). Acest lucru se datorează faptului că el este cel care poartă amenințarea atac extern. Nu există o astfel de cerință în mod explicit în documentele de reglementare, dar în acest caz, soluția la problema protecției informațiilor necesită o revizuire radicală. principii de baza implementarea unei politici restrictive de acces la resurse.

Dacă problemele suficienței mecanismelor de protecție în raport cu ansamblul resurselor protejate sunt încă susceptibile de formalizare, atunci în raport cu sarcinile de protecție a informațiilor nu este posibilă formalizarea unor astfel de cerințe.

În acest caz, SZI de la NSD diferiți producători care îndeplinesc cerinţele formalizate ale documentelor de reglementare pot avea de asemenea diferenţe fundamentale atât în ​​abordările implementate cât şi solutii tehnice, și în eficacitatea acestor fonduri în general.

În concluzie, observăm că nu trebuie subestimată importanța sarcinii de a alege o facilitate de securitate a informațiilor din UA, deoarece aceasta este o clasă specială de mijloace tehnice, a căror eficiență nu poate fi mare sau scăzută. Ținând cont de complexitatea evaluării eficacității reale a sistemului de securitate a informațiilor de la NSD, recomandăm ca consumatorului să implice specialiști (de preferință din rândul dezvoltatorilor care se confruntă practic cu aceste probleme) la etapa de alegere a unui sistem de protecție a informațiilor de la NSD.

Protecție împotriva accesului neautorizat la date

Accesul neautorizat (UAS) al unui atacator la un computer este periculos nu numai prin posibilitatea de a citi și/sau modifica documentele electronice în curs de procesare, ci și prin posibilitatea introducerii unui marcaj software controlat de către un atacator, care îi va permite să ia urmatoarele actiuni:

2. Interceptați diverse informații cheie utilizate pentru protejarea documentelor electronice.

3. Utilizați computerul capturat ca o trambulină pentru capturarea altor computere din rețeaua locală.

4. Distrugeți informațiile stocate pe computer sau dezactivați computerul rulând software rău intenționat.

Protejarea computerelor împotriva accesului neautorizat este una dintre principalele probleme ale securității informațiilor, așadar, în majoritatea sisteme de operareși pachete software populare, sunt încorporate diferite subsisteme de protecție anti-UAS. De exemplu, efectuarea autentificării utilizatorilor atunci când se conectează la sistemele de operare ale familiei Windows. Cu toate acestea, nu există nicio îndoială că instrumentele încorporate ale sistemelor de operare nu sunt suficiente pentru o protecție serioasă împotriva accesului neautorizat. Din păcate, implementarea subsistemelor de securitate în majoritatea sistemelor de operare provoacă adesea critici din cauza vulnerabilităților descoperite în mod regulat care permit accesul la obiectele protejate ocolind regulile de control al accesului. Pachetele de servicii și patch-urile lansate de furnizorii de software rămân obiectiv în urma informațiilor despre vulnerabilitățile descoperite. Prin urmare, pe lângă mijloacele standard de protecție, este necesar să se utilizeze mijloace speciale de restricționare sau delimitare a accesului.
Aceste fonduri pot fi împărțite în două categorii:

1. Mijloace de restricționare a accesului fizic.

2. Mijloace de protecție împotriva accesului neautorizat prin rețea.

Mijloace de restricționare a accesului fizic

Cel mai solutie de incredere probleme de restricționare a accesului fizic la computer - utilizarea hardware-ului pentru a proteja informațiile de accesul neautorizat care rulează înainte ca sistemul de operare să fie încărcat. Mijloacele de protecție din această categorie se numesc „încuietori electronice”. Un exemplu de blocare electronică este prezentat în fig. 5.3.

Figura 5.3 - Încuietoare electronică pentru magistrala PCI

Teoretic, orice instrument de control al accesului software poate fi expus unui atacator pentru a distorsiona algoritmul unui astfel de instrument și, ulterior, a obține acces la sistem. aplica Intr-un mod similar cu protecție hardware este aproape imposibilă: toate acțiunile de control al accesului utilizatorului sunt efectuate de blocarea electronică în propriul mediu software de încredere, care nu este supus influențelor externe.
Pe etapa pregătitoare folosind o încuietoare electronică, se instalează și se configurează. Configurarea include următorii pași, efectuati de obicei de persoana responsabilă, administratorul de securitate:

1. Crearea unei liste de utilizatori cărora li se permite accesul la computerul protejat. Pentru fiecare utilizator este generat un port chei (în funcție de interfețele suportate de o anumită încuietoare - o dischetă, o tabletă electronică iButton sau un smart card), care va fi folosit pentru autentificarea utilizatorului la intrare. Lista utilizatorilor este stocată în memoria nevolatilă a lacătului.

2. Formarea unei liste de fișiere, a căror integritate este controlată de blocare înainte de încărcarea sistemului de operare al computerului. Supuse controlului fișiere importante sistem de operare, de exemplu:

Biblioteci de sistem Windows;

Module executabile ale aplicațiilor utilizate;

Șabloane de documente Microsoft Word etc.

Controlul integrității fișierelor este calculul sumei de control de referință, de exemplu, hashing conform algoritmului GOST R 34.11-94, stocarea valorilor calculate în memoria nevolatilă a blocării și apoi calculul sumelor de control ale fișierelor reale și compararea acestora cu cele de referinţă. V Mod normal funcționarea încuietorii electronice primește control din BIOS-ul computerului protejat după ce acesta din urmă este pornit. În această etapă, toate acțiunile sunt efectuate pentru a controla accesul la computer (vezi diagrama algoritmului simplificat în Fig. 5.4), și anume:

Figura 5.4 - Schema simplificată a algoritmului de funcționare a blocării electronice

1. Lacătul solicită utilizatorului un transportator cu informații cheie necesare pentru autentificarea acestuia. Dacă informațiile cheie în formatul solicitat nu sunt prezentate sau dacă utilizatorul identificat prin informațiile furnizate nu este inclus în lista de utilizatori ai computerului protejat, blocarea blochează computerul să nu pornească.

2. Dacă autentificarea utilizatorului are succes, blocarea calculează sume de control fișierele conținute în lista celor monitorizate și compară sumele de control primite cu cele de referință. Dacă integritatea a cel puțin unui fișier din listă este încălcată, computerul va fi blocat de la încărcare. Pentru a putea lucra în continuare pe acest computer, problema trebuie rezolvată de către Administrator, care trebuie să afle motivul modificării fișierului monitorizat și, în funcție de situație, să ia una dintre următoarele acțiuni pentru a permite continuarea lucrului cu calculatorul protejat:

Restabili dosarul original;

Eliminați un fișier din lista de controlați.

3. Dacă toate verificările sunt trecute cu succes, blocarea returnează controlul computerului pentru a încărca sistemul de operare standard.

Deoarece pașii de mai sus sunt efectuati înainte ca sistemul de operare al computerului să fie încărcat, blocarea încarcă de obicei propriul sistem de operare (situat în memoria sa nevolatilă - de obicei MS-DOS sau asemănător OS cerință redusă de resurse) care efectuează autentificarea utilizatorului și verificări de integritate a fișierelor. Acest lucru are sens și din punct de vedere al securității - propriul sistem de operare al lacătului nu este supus niciunei influențe externe, ceea ce nu permite unui atacator să influențeze procesele de control descrise mai sus. Informațiile despre autentificarea utilizatorului la computer, precum și încercările de acces neautorizat, sunt stocate într-un jurnal, care se află în memoria nevolatilă a lacătului. Jurnalul poate fi vizualizat de administrator. Când utilizați încuietori electronice, există o serie de probleme, în special:

1. BIOS unele computere moderne pot fi configurate în așa fel încât controlul la pornire să nu fie transferat în BIOS-ul lacătului. Pentru a contracara astfel de setări, blocarea trebuie să poată bloca pornirea computerului (de exemplu, prin închiderea contactelor resetare) dacă încuietoarea nu a primit control într-o anumită perioadă de timp după pornirea alimentării.

2. Un atacator poate pur și simplu să scoată lacătul din computer. Cu toate acestea, există o serie de contramăsuri:

Diverse măsuri organizatorice și tehnice: etanșarea carcasei computerului, asigurarea faptului că utilizatorii nu au acces fizic la unitatea de sistem informatică etc.

Există încuietori electronice care pot bloca carcasa unității de sistem computerizată din interior cu un zăvor special la comanda administratorului - în acest caz, lacătul nu poate fi îndepărtat fără deteriorarea semnificativă a computerului.

Destul de des, încuietorile electronice sunt combinate structural cu un codificator hardware. În acest caz, măsura de securitate recomandată este utilizarea blocării împreună cu software-ul transparent (automat) de criptare pentru unitățile logice ale computerului. În acest caz, cheile de criptare pot fi derivate din cheile care sunt utilizate pentru autentificarea utilizatorilor în încuietoare electronică, sau chei separate, dar stocate pe același mediu ca și cheile utilizatorului pentru a intra în computer. Un astfel de instrument cuprinzător de protecție nu va cere utilizatorului să efectueze nicio acțiune suplimentară, dar nu va permite unui atacator să obțină acces la informații chiar și atunci când echipamentul de blocare electronică este îndepărtat.

Mijloace de protecție împotriva accesului neautorizat prin rețea

Cel mai metode eficiente protecția împotriva accesului neautorizat prin rețelele de calculatoare sunt rețele private virtuale ( VPN - Rețea privată virtuală) și firewall-uri. Să le luăm în considerare în detaliu.

Rețele private virtuale

VPN-urile oferă protectie automata integritatea și confidențialitatea mesajelor transmise prin diverse rețele uz comunîn primul rând prin Internet. De fapt, VPN este un ansamblu de rețele pe al căror perimetru exterior VPN-agenţi (Fig. 5.5). VPN-agent este un program (sau complex software și hardware) care asigură de fapt protecția informațiilor transmise prin efectuarea operațiunilor descrise mai jos.

Orez. 5.5 - Schema construirea unui VPN

Înainte de a trimite oricare IP-pachet VPN- agentul face următoarele:

1. Din antet IP-se aloca informațiile pachetului despre destinatarul acestuia. Conform acestor informații, pe baza politicii de securitate a acesteia VPN-agent, sunt selectați algoritmi de protecție (dacă VPN-agent suporta mai multi algoritmi) si chei criptografice cu care acest pachet va fi protejat. Dacă politica de securitate VPN-agent nu este prevăzut pentru trimitere IP-pachet către acest destinatar sau IP-pachet cu aceste caracteristici, expediere IP-pachetul este blocat.

2. Folosind algoritmul de protecție a integrității selectat, acesta este format și adăugat la IP- pachet electronic semnatura digitala(EDS), prefix de imitație sau sumă de control similară.

3. Criptarea se realizează utilizând algoritmul de criptare selectat IP-pachet.

4. Folosind algoritm stabilitîncapsularea pachetelor este criptată IP- pachetul este plasat într-un pachet IP pregătit pentru transmitere, al cărui antet, în locul informațiilor originale despre destinatar și expeditor, conține, respectiv, informații despre VPN- agentul destinatarului și VPN agentul expeditorului. Acestea. traducerea adresei de rețea este în curs.

5. Pachetul este trimis VPN agent al destinatarului. Dacă este necesar, este împărțit și pachetele rezultate sunt trimise unul câte unul.

Când primești IP-pachet VPN- agentul face următoarele:

1. Din antet IP-informațiile pachetului despre expeditorul acestuia sunt evidențiate. Dacă expeditorul nu este permis (conform politicii de securitate) sau necunoscut (de exemplu, la primirea unui pachet cu un antet deteriorat în mod deliberat sau accidental), pachetul nu este procesat și aruncat.

2. Conform politicii de securitate, algoritmii de protecție sunt selectați acest pachetși cheile care vor fi folosite pentru a decripta pachetul și a verifica integritatea acestuia.

3. Partea informațională (încapsulată) a pachetului este extrasă și decriptată.

4. Integritatea pachetului este verificată pe baza algoritmului selectat. Dacă este detectată o încălcare a integrității, pachetul este aruncat.

5. Pachetul este trimis destinatarului (de către rețeaua internă) conform informațiilor găsite în antetul său original.

VPN-agentul poate fi localizat direct pe computerul protejat (de exemplu, calculatoarele „utilizatori la distanță” din Fig. 5.5). În acest caz, cu ajutorul acestuia, doar schimbul de informații al computerului pe care este instalat este protejat, cu toate acestea, principiile de funcționare a acestuia descrise mai sus rămân neschimbate.
Regula de bază a construcției VPN– Comunicarea între o rețea LAN securizată și o rețea deschisă ar trebui să aibă loc numai prin VPN-agenți. În mod categoric, nu ar trebui să existe niciun mijloc de comunicare care să ocolească bariera de protecție din formular VPN-agent. Acestea. trebuie definit un perimetru protejat, comunicarea cu care se poate realiza numai printr-un mijloc adecvat de protectie. O politică de securitate este un set de reguli conform cărora sunt stabilite canale de comunicații securizate între abonați VPN. Aceste canale sunt de obicei numite tuneluri, o analogie cu care poate fi văzută în următoarele:

1. Toate informațiile transmise într-un tunel sunt protejate atât de vizionarea neautorizată, cât și de modificare.

2. Încapsulare IP pachetele vă permite să ascundeți topologia rețelei LAN interne: de pe Internet, schimbul de informații între două LAN-uri protejate este vizibil ca un schimb de informații doar între ele VPN-agenti, din moment ce toate interne IP-adrese transmise prin internet IP-pachetele nu apar in acest caz.

Regulile pentru crearea tunelurilor se formează în funcție de diferite caracteristici IP-pachete, de exemplu, cel principal la construirea celor mai multe VPN protocol IPSec (Arhitectura de securitate pentru IP) setează următorul set de date de intrare, în funcție de care sunt selectați parametrii de tunel și se ia o decizie la filtrarea unui anumit IP-pachet:

1. IP Sursa adresei. Aceasta poate fi nu numai o singură adresă IP, ci și o adresă de subrețea sau o serie de adrese.

2. IP- adresa de destinatie. Poate fi, de asemenea, o serie de adrese, specificate în mod explicit folosind o mască de subrețea sau un wildcard.

3. ID utilizator (expeditor sau destinatar).

4. Protocolul stratului de transport ( TCP/UDP).

5. Numărul portului din care sau către care a fost trimis pachetul.

Un firewall este o bucată de software sau firmware care oferă protecție rețele localeși computere individuale de la acces neautorizat de către rețele externe prin filtrarea fluxului bidirecţional de mesaje la schimbul de informaţii. De fapt, firewall-ul este „demontat” VPN- un agent care nu criptează pachetele și nu controlează integritatea acestora, dar în unele cazuri are un număr de caracteristici suplimentare, dintre care cele mai frecvente sunt:

scanare antivirus;

Verificarea corectitudinii pachetelor;

Verificarea corectitudinii conexiunilor (de exemplu, stabilirea, utilizarea și întreruperea TCP-sesiuni);

Controlul conținutului.

Firewall-uri, care nu au funcțiile descrise mai sus și efectuează doar filtrarea pachetelor, sunt apelate filtre de pachete. Prin analogie cu VPN De asemenea, agenții au firewall-uri personale care protejează doar computerul pe care sunt instalați. Firewall-urile sunt amplasate și pe perimetrul rețelelor protejate și filtrează traficul din rețea conform politicii de securitate configurate.

O încuietoare electronică poate fi dezvoltată pe baza unui codificator hardware. În acest caz, se obține un dispozitiv care îndeplinește funcțiile de criptare, generare de numere aleatorii și protecție împotriva accesului neautorizat. Un astfel de codificator poate fi centrul de securitate al întregului computer; pe baza lui, puteți construi un sistem complet de protecție a datelor criptografice care oferă, de exemplu, urmatoarele posibilitati:

1. Protejarea computerului împotriva accesului fizic.

2. Protejarea computerului împotriva accesului neautorizat prin rețea și organizație VPN.

3. Criptarea fișierelor la cerere.

4. Criptarea automată a unităților logice ale computerului.

5. Calcul/verificare EDS.

6. Protecția mesajelor de e-mail.

Accesul neautorizat (UA) este o deținere ilegală deliberată de informații confidențiale de către o persoană care nu are dreptul de a accesa informații protejate. Cele mai comune căi pentru ND către informație sunt:

• utilizarea dispozitivelor de ascultare;
• fotografie la distanță;
• furt de suporturi de informații și deșeuri documentare;
• citirea informațiilor reziduale în memoria sistemului după executarea solicitărilor autorizate;
• conexiune ilegală la echipamente și linii de comunicație ale hardware-ului special conceput care oferă acces la informații;
• incapacitarea rău intenționată a mecanismelor de protecție;
• copierea purtătoarelor de informații cu măsuri de protecție depășitoare;
• deghizați în utilizator înregistrat;
• decriptarea informațiilor criptate;
• infecții informaționale etc.

Unele moduri enumerate ND necesită cunoștințe tehnice destul de mari și dezvoltări hardware sau software adecvate, altele sunt mai degrabă primitive. Indiferent de cale, scurgerea de informații poate provoca daune semnificative organizației și utilizatorilor.

Cele mai multe dintre modalitățile tehnice enumerate de ND pot fi blocate în mod fiabil cu un sistem de securitate proiectat și implementat corespunzător. Cu toate acestea, adesea daunele sunt cauzate nu din cauza „intențiilor rău intenționate”, ci din cauza erorilor elementare ale utilizatorului care corup sau șterg accidental date vitale.

În ciuda diferenței semnificative în valoarea pagubelor materiale cauzate, trebuie menționat că problema securității informațiilor este relevantă nu numai pentru persoanele juridice. Orice utilizator se poate confrunta atât la serviciu, cât și acasă. În acest sens, toți utilizatorii trebuie să fie conștienți de măsura responsabilității și să respecte reguli elementare prelucrarea, transmiterea și utilizarea informațiilor.

Mecanismele de protecție care vizează rezolvarea problemei ND la informație includ:

• controlul accesului - metode de protejare a informațiilor prin reglementarea utilizării tuturor resurselor sistemului informațional;
• înregistrare și contabilitate - înregistrarea și statistica apelurilor către resurse protejate;
• utilizarea diferitelor mecanisme de criptare (închiderea criptografică a informațiilor) - aceste metode de protecție sunt utilizate pe scară largă în prelucrarea și stocarea informațiilor pe medii magnetice, precum și transmiterea acestuia pe canale de comunicare la distanță lungă;
• masuri legislative - sunt determinate de actele legislative ale tarii, care reglementeaza regulile de utilizare, prelucrare si transmitere a informatiilor acces limitatși se stabilesc sancțiuni pentru încălcarea acestor reguli;
• măsuri fizice – includ diverse dispozitive de inginerieși structuri care împiedică fizic

pătrunderea răufăcătorilor asupra obiectelor de protecție și efectuarea protecției personalului, mijloacelor materiale, informației din acțiuni ilegale.

Controlul accesului

Există trei mecanisme generalizate de control al accesului la date: identificarea utilizatorului, protecția directă (fizică) a datelor și suport pentru drepturile de acces ale utilizatorilor la date cu posibilitatea transferului acestora.

Identificarea utilizatorului determină scara de acces la diverse baze date sau părți ale bazei de date (relații sau atribute). Acesta este, în esență, un tabel informativ al rangurilor. Protecție fizică datele sunt mai mult legate de aranjamente organizatorice, deși unele întrebări pot avea legătură directă cu datele, cum ar fi codificarea acestora. Și, în sfârșit, mijloacele de susținere și transfer de drepturi de acces trebuie să definească strict natura comunicării diferențiate cu datele.

Metodă de protecție folosind parole software. Conform acestei metode, implementat instrumente software, procedura de comunicare a utilizatorului cu un PC este concepută astfel încât accesul la sistemul de operare sau anumite fișiere până când parola este introdusă. Parola este păstrată secretă de către utilizator și schimbată periodic pentru a preveni utilizarea neautorizată.

Metoda parolei este cea mai simplă și cea mai ieftină, dar nu oferă o protecție fiabilă. Nu este un secret pentru nimeni faptul că o parolă poate fi spionată sau preluată folosind metoda de încercare și eroare sau programe speciale și poate obține acces la date. Mai mult, principala vulnerabilitate a metodei parolei este că utilizatorii aleg adesea parole foarte simple și ușor de reținut (și astfel ghicesc) parole care nu se schimbă. perioadă lungă de timpși deseori rămân aceleași la schimbarea utilizatorului. În ciuda acestor deficiențe, utilizarea metodei parolei în multe cazuri ar trebui considerată rațională chiar și în prezența altor metode de protecție hardware și software. De obicei, metoda parolei soft este combinată cu altele metode software, definind restricții asupra tipurilor și obiectelor de acces.

Problema protecției informațiilor împotriva accesului neautorizat a devenit deosebit de acută odată cu utilizarea pe scară largă a rețelelor de calculatoare locale și, mai ales, globale. Prin urmare, pe lângă controlul accesului, element necesar protecția informațiilor în retele de calculatoare este diferențierea puterilor utilizatorului.

În rețelele de calculatoare, atunci când se organizează controlul accesului și diferențierea puterilor utilizatorilor, instrumentele încorporate ale sistemelor de operare în rețea (OS) sunt cel mai des utilizate. Utilizarea sistemelor de operare securizate este una dintre cele conditii esentiale clădire modernă sisteme de informare. De exemplu, sistemul de operare UNIX permite unui proprietar de fișier să acorde drepturi de numai citire sau doar de scriere altor utilizatori pentru fiecare dintre fișierele lor. Cel mai folosit sistem de operare la noi în țară este Windows NT, în care apare totul. mai multe posibilitati pentru a construi o rețea care este cu adevărat protejată de ND la informații. NetWare OS, pe lângă mijloacele standard de restricționare a accesului, cum ar fi un sistem de parole și diferențiere a puterilor, are o serie de caracteristici noi care asigură prima clasă de protecție a datelor, oferă posibilitatea de codificare a datelor în conformitate cu „publicul”. principiul cheie" ( algoritm RSA) cu formarea semnatura electronica pentru pachetele trimise prin rețea.

În același timp, într-un astfel de sistem de organizare a protecției, există încă slăbiciune: Nivelul de acces și capacitatea de conectare sunt determinate de parolă. Pentru a exclude posibilitatea intrării neautorizate într-o rețea de calculatoare în În ultima vreme se folosește o abordare combinată - o parolă + identificarea utilizatorului printr-o „cheie” personală. Un card de plastic (magnetic sau cu un microcircuit încorporat - smart-card) poate fi folosit ca „cheie” sau diverse dispozitive pentru identificarea unei persoane prin informații biometrice - după irisul ochiului sau amprentele digitale, dimensiunea mâinii etc.

Cardurile din plastic cu bandă magnetică pot fi contrafăcute cu ușurință. Un grad mai mare de fiabilitate este asigurat de cardurile inteligente - așa-numitele carduri cu microprocesor (MP-card-points). Fiabilitatea lor se datorează în primul rând imposibilității copierii sau falsificării în mod artizanal. În plus, în timpul producției de carduri, fiecare cip este introdus cod unic, care nu poate fi duplicat. La emiterea unui card unui utilizator, i se aplică una sau mai multe parole, cunoscute doar de proprietarul acestuia. Pentru unele tipuri de carduri MP, o încercare de utilizare neautorizată se încheie cu „închiderea” sa automată. Pentru a restabili performanța unui astfel de card, acesta trebuie prezentat autorității competente. În plus, tehnologia MP-card-check oferă criptarea datelor înregistrate pe ea în conformitate cu Standard DES. Instalarea unui cititor special MP - carduri este posibilă nu numai la intrarea în incinta unde se află computerele, ci și direct la stațiile de lucru și serverele de rețea.

Această abordare este mult mai fiabilă decât utilizarea parolelor, deoarece dacă parola este spionată, utilizatorul poate să nu știe despre ea, dar dacă cardul lipsește, puteți lua măsuri imediat.

Cardurile inteligente de control al accesului vă permit să implementați, în special, funcții precum controlul accesului, accesul la dispozitivele computerului personal, accesul la programe, fișiere și comenzi. În plus, este, de asemenea, posibilă implementarea funcțiilor de control, în special, înregistrarea încercărilor de a încălca accesul la resurse, utilizarea de utilități interzise, ​​programe, comenzi DOS.

Odată cu extinderea întreprinderilor, creșterea numărului de personal și apariția de noi sucursale, devine necesar ca utilizatorii (sau grupurile de utilizatori) de la distanță să acceseze computere și resurse informaționale sediul principal al companiei. Cel mai frecvent pentru o organizație acces de la distanță se folosesc linii de cablu (telefon obișnuit sau dedicate) și canale radio. În acest sens, protecția informațiilor transmise prin canalele de acces la distanță necesită o abordare specială.

În special, punțile și routerele de acces la distanță folosesc segmentarea pachetelor - separarea și transmiterea lor în paralel pe două linii - ceea ce face imposibilă „interceptarea” datelor atunci când un „hacker” se conectează ilegal la una dintre linii. În plus, procedura de comprimare a pachetelor transmise utilizate în timpul transmiterii datelor asigură că datele „interceptate” nu pot fi decriptate. În plus, punțile și routerele de acces la distanță pot fi programate astfel utilizatori la distanță va fi limitat în accesul la anumite resurse de rețea ale terminalului principal.

Metoda automată de apel invers poate oferi mai mult protecţie fiabilă sisteme de acces neautorizat decât simplu parole software. În acest caz, utilizatorul nu trebuie să-și amintească parolele și să le monitorizeze secretul. Ideea unui sistem de apel invers este destul de simplă. Utilizatorii de la distanță din baza de date centrală nu o pot accesa direct. În primul rând, aceștia au acces la un program special, căruia îi sunt date codurile de identificare corespunzătoare. După aceea, conexiunea este întreruptă și codurile de identificare sunt verificate. Dacă codul trimis prin canalul de comunicare este corect, atunci utilizatorul este apelat înapoi cu fixarea simultană a datei, orei și numărului de telefon. Dezavantajul acestei metode este viteza mica schimb - timpul mediu de întârziere poate fi calculat în zeci de secunde.

Metoda de criptare a datelor

Tradus din greacă, cuvântul criptografie înseamnă scriere secretă. Acesta este unul dintre cele mai multe metode eficiente protecţie. Poate fi util în special pentru complicarea procedurilor de acces neautorizat, chiar dacă măsurile convenționale de securitate pot fi ocolite. Spre deosebire de metodele discutate mai sus, criptografia nu se ascunde mesajele transmise, dar le transformă într-o formă de neînțeles pentru persoanele care nu au drepturi de acces la acestea, asigură integritatea și autenticitatea informațiilor în procesul de interacțiune informațională.

Informațiile pregătite pentru transmitere sunt criptate folosind un algoritm de criptare și o cheie de criptare. Ca urmare a acestor acțiuni, acesta este convertit într-un text cifrat, adică un text închis sau imagine grafică, iar în această formă este transmisă prin canalul de comunicare. Ieșirea criptată rezultată nu poate fi înțeleasă de nimeni altul decât de proprietarul cheii.

Un cifr este de obicei înțeles ca o familie de transformări reversibile, fiecare dintre acestea fiind determinată de un parametru numit cheie, precum și de ordinea aplicării. transformare dată, numit modul de criptare. De obicei, cheia este o secvență alfabetică sau numerică.

Fiecare transformare este definită în mod unic de o cheie și descrisă de un algoritm de criptare. De exemplu, algoritmul de criptare poate prevedea înlocuirea fiecărei litere a alfabetului cu un număr, iar ordinea numerelor literelor acestui alfabet poate fi cheia. Pentru ca schimbul de date criptate să aibă succes, expeditorul și destinatarul trebuie să cunoască cheia corectă și să o păstreze secretă.

Același algoritm poate fi utilizat pentru criptare în diverse moduri. Fiecare mod de criptare are atât avantaje, cât și dezavantaje. Prin urmare, alegerea modului depinde de situația specifică. Decriptarea folosește un algoritm criptografic care caz general poate diferi de algoritmul utilizat pentru criptare, prin urmare, cheile corespunzătoare pot diferi și ele. O pereche de algoritmi de criptare și decriptare se numește criptosistem (sistem de criptare), iar dispozitivele care le implementează se numesc tehnologie de criptare.

Există criptosisteme simetrice și asimetrice. Criptosistemele simetrice folosesc același cod pentru criptare și decriptare. cheie privată. În criptosistemele asimetrice, cheile pentru criptare și decriptare sunt diferite, iar una dintre ele este privată, iar cealaltă este publică (publică).

Există destul de mulți algoritmi diferiți pentru protecția informațiilor criptografice, de exemplu, DES, RSA, GOST 28147-89 etc. Alegerea metodei de criptare depinde de caracteristicile informațiilor transmise, de volumul acesteia și de viteza de transmisie necesară, precum și ca capacități ale proprietarilor (costul aplicat dispozitive tehnice, fiabilitatea operațională etc.).

Criptarea datelor a fost folosită în mod tradițional de către departamentele guvernamentale și de apărare, dar pe măsură ce nevoile se schimbă, unele dintre companiile mai consacrate încep să folosească puterea criptării pentru a păstra informațiile private. Companiile de servicii financiare (în primul rând din SUA) reprezintă o bază importantă și mare de utilizatori, iar de multe ori cerințe specifice sunt impuse algoritmului utilizat în procesul de criptare.

rătăcire. Standardul de criptare a datelor (DES) a fost dezvoltat de IBM la începutul anilor 1970. și este în prezent standardul guvernamental pentru criptare informatii digitale. Este recomandat de Asociația Bancherilor Americani. Algoritmul DES sofisticat folosește o cheie de 56 de biți cu 8 biți de paritate și necesită un atacator să încerce 72 de cvadrilioane de combinații de taste posibile, oferind un grad ridicat de protecție la costuri reduse. Cu schimbări frecvente ale cheilor, algoritmul rezolvă în mod satisfăcător problema de a face informațiile confidențiale inaccesibile. În același timp, piața sisteme comerciale nu necesită întotdeauna o protecție atât de strictă precum departamentele guvernamentale sau de apărare, așa că pot fi utilizate alte tipuri de produse, cum ar fi PGP (Pretty Good Privacy). Criptarea datelor poate fi efectuată în modurile On-line (la rata de primire a informațiilor) și Off-line (autonom).

Algoritmul RSA a fost inventat de R.L. Rivest, A. Shamir și L. Aldeman în 1978 și reprezintă un pas semnificativ înainte în criptografie. Acest algoritm a fost adoptat și ca standard de către Biroul Național de Standarde.

DES este tehnic algoritm simetric, și RSA - asimetric - un sistem de utilizare partajată, în care fiecare utilizator are două chei și un singur secret. Cheia publică este folosită pentru a cripta mesajul de către utilizator, dar numai un anumit destinatar îl poate decripta cu cheia sa privată; cheia publică este inutilă pentru asta. Acest lucru face ca acordurile secrete de transfer de chei între corespondenți să nu fie necesare. DES specifică lungimea datelor și cheia în biți, în timp ce RSA poate fi implementat cu orice lungime a cheii. Cu cât cheia este mai lungă, cu atât este mai mare nivelul de securitate (dar procesul de criptare și decriptare devine mai lung). Dacă cheile DES pot fi generate în microsecunde, atunci timpul aproximativ pentru generarea unei chei RSA este de zeci de secunde. Asa de chei publice RSA este preferat de dezvoltatorii de software, în timp ce cheile secrete DES sunt preferate de dezvoltatorii de hardware.

La schimbul de documentație electronică, una dintre părți poate renunța la obligațiile sale (renunțarea la autoritate), precum și la falsificarea mesajelor primite de la expeditor (atribuirea dreptului de autor). Principalul mecanism pentru rezolvarea acestei probleme este crearea unui analog al unei semnături de mână - o semnătură digitală electronică (DSC). CPU-ului i se impun două cerințe principale: complexitatea ridicată a falsificării și ușurința verificării.

Atât sistemele de criptare simetrice, cât și cele asimetrice pot fi utilizate pentru a crea un procesor. În primul caz, mesajul în sine criptat cu o cheie secretă poate servi drept semnătură. Dar după fiecare verificare, cheia secretă devine cunoscută. Pentru a ieși din această situație, este necesar să introduceți un terț - un intermediar de încredere de orice parte care re-criptează mesajele de la cheia unuia dintre abonați la cheia celuilalt.

Sistemele de criptare asimetrice au toate proprietățile necesare unui procesor. Există două abordări posibile pentru construirea unui procesor.

• 1. Transformarea mesajului într-o formă prin care mesajul însuși poate fi restaurat și, prin aceasta, se poate verifica corectitudinea semnăturii în sine.
• 2. Semnătura este calculată și transmisă împreună cu mesajul original.

Astfel, pentru diferite cifruri, sarcina de decriptare - decriptarea unui mesaj dacă cheia este necunoscută - are o complexitate diferită. Nivelul de complexitate al acestei sarcini determină principala proprietate a cifrului - capacitatea de a rezista încercărilor inamicului de a sechestra informațiile protejate. În acest sens, ei vorbesc despre puterea criptografică a cifrului, făcând distincție între cifrurile mai sigure și cele mai puțin sigure. Caracteristicile celor mai populare metode de criptare sunt prezentate în tabel. 10.1.

Tabelul 10.1. Caracteristicile celor mai comune metode de criptare

Există o pildă despre mod de încredere stocarea informațiilor: informațiile trebuie să fie într-o singură copie pe un computer care se află într-un seif blindat, deconectat de la toate rețelele și deconectat de la curent.

Este clar că lucrul cu astfel de informații este, pentru a le spune ușor, incomod. În același timp, vreau să protejez programele și datele împotriva accesului neautorizat (UAS). Și pentru ca accesul să fie autorizat, trebuie să decideți cine poate și nu ce.

Pentru asta ai nevoie de:

1. clasifică informațiile stocate și procesate într-un computer;
2. pentru a clasifica utilizatorii acestor informații;
3. pune clasele de informații și utilizatorii primite într-o anumită corespondență între ele.

Accesul utilizatorilor la diferite clase de informații ar trebui să fie efectuat în conformitate cu sistemul de parole, care poate fi:

• parole obișnuite;
• încuietori și chei reale;
• teste speciale de identificare a utilizatorului;
• algoritmi speciali pentru identificarea PC-urilor, dischetelor, software-ului.

Sistemele de securitate a informațiilor împotriva accesului neautorizat oferă următoarele funcții:

1. identificare, adică atribuirea de caracteristici unice - identificatori, prin care sistemul efectuează ulterior autentificarea;
2. autentificare, adică autentificare bazată pe comparație cu identificatorii de referință;
3. diferențierea accesului utilizatorului la PC;
4. diferențierea accesului utilizatorilor prin operațiuni asupra resurselor (programe, date etc.);
5. administrare:
   • definirea drepturilor de acces la resursele protejate,
   • procesarea jurnalelor,
   • instalarea unui sistem de protecție pe un computer,
   • scoaterea sistemului de protectie de pe PC;
6. înregistrarea evenimentelor:
   • logare utilizator,
   • deconectarea utilizatorului,
   • încălcări de acces;
7. reacția la încercările de NSD;
8. monitorizarea integrității și performanței sistemelor de protecție;
9. asigurarea securității informațiilor în timpul lucrărilor de întreținere și reparații;
10. asigurarea securității informațiilor în situații de urgență.

Drepturile utilizatorului pentru accesul la programe și date descriu tabelele pe baza cărora se efectuează controlul și diferențierea accesului la resurse. Accesul trebuie controlat de software de securitate. Dacă accesul solicitat nu corespunde cu cel din tabelul cu drepturi de acces, atunci sistemul de securitate înregistrează faptul UA și inițiază un răspuns corespunzător.

Identificarea și autentificarea utilizatorului

Înainte de a accesa resurse, utilizatorul trebuie să treacă printr-un proces de trimitere sistem informatic, care include două etape:

• Identificare- utilizatorul informează sistemul la cererea acestuia despre numele acestuia (identificatorul);
• autentificare- utilizatorul confirmă identificarea introducând în sistem informații unice despre sine (de exemplu, o parolă) care nu sunt cunoscute de alți utilizatori.

Pentru a efectua proceduri de identificare și autentificare a unui utilizator, este necesar să aveți:

• programe de autentificare;
• informații unice despre utilizator.

Există două forme de stocare a informațiilor despre utilizator: extern (de exemplu, un card de plastic sau capul utilizatorului) și intern (de exemplu, o înregistrare într-o bază de date). Desigur, informațiile stocate în cap și informațiile din baza de date trebuie să fie identice din punct de vedere semantic. Necazul cu fratele lacom al lui Ali Baba, Kasim, s-a petrecut tocmai din cauza nepotrivirii dintre formele externe și cele interne: sim-sim nu este identic cu mazărea, orezul etc.

Luați în considerare structurile de date și protocoalele de identificare și autentificare a utilizatorilor.

Aproape orice purtător de informații cheie utilizat pentru identificare corespunde următoarei structuri de date utilizator:

• ID i - identificatorul imuabil al utilizatorului i, care este un analog al numelui și este folosit pentru a identifica utilizatorul;
• Ki - informații de autentificare a utilizatorului, care pot fi modificate și servesc pentru autentificare (de exemplu, parola P i = Ki).

Deci pentru transportatorii de acest tip carduri de plastic sunt alocate informații imuabile ID i și un obiect din structura fișierului hartă care conține K i.

Informațiile agregate din purtătorul de chei pot fi numite informații de autentificare primară a utilizatorului i-lea. Evident, obiectul de autentificare intern nu ar trebui să existe în sistem mult timp (mai mult decât timpul unui anumit utilizator). De exemplu, ați introdus o parolă pe care programul de autentificare a introdus-o într-o variabilă pentru a le compara cu cele stocate în baza de date. Această variabilă trebuie resetată cel târziu la încheierea sesiunii. Pentru stocarea pe termen lung, trebuie utilizate datele într-o formă sigură.

Luați în considerare două scheme tipice de identificare și autentificare.

Schema 1.

Aici E i = F(ID i , Ki ), unde „irecuperabilitatea” lui Ki este estimată printr-un anumit prag de complexitate T 0 de rezolvare a problemei refacerii Ki din E i și ID i . În plus, pentru o pereche de Ki și K j, valorile corespunzătoare ale lui E pot coincide în acest sens, probabilitatea autentificare falsă utilizatorii nu trebuie să depășească o anumită valoare de prag P 0 . În practică, se stabilește T 0 = 10 20 ...10 30 , P 0 = 10 -7 ...10 -9 .

Protocol de identificare și autentificare (pentru schema 1).

1. Se calculează valoarea E = F(ID, K).

Schema 2 (modificată). Sistemul informatic stochează:

Aici E i = F(S i , Ki), unde S este un vector aleator specificat la crearea unui identificator de utilizator; F este o funcție care are proprietatea de „irecuperabilitate” a valorii lui Ki de către E i și S i .

Protocol de identificare și autentificare (pentru schema 2).

1. Utilizatorul își prezintă identitatea.
2. Dacă există i = 1...n pentru care ID = ID i , atunci utilizatorul a fost identificat cu succes. În caz contrar, utilizatorul nu are voie să lucreze.
3. Vectorul S este alocat prin ID.
4. Modulul de autentificare cere utilizatorului autentificatorul K.
5. Se calculează valoarea E = F(S, K).
6. Dacă E = E i , atunci autentificarea a avut succes. În caz contrar, utilizatorul nu are voie să lucreze.

A doua schemă de autentificare este utilizată în OC UNIX. Numele de utilizator (solicitat de Login) este folosit ca identificator, parola utilizatorului (solicitată de Password) este folosită ca autentificator. Funcția F este algoritmul de criptare DES. Referințele pentru identificare și autentificare sunt conținute în fișierul Etc/passwd.

Trebuie remarcat faptul că cerință necesară stabilitatea schemelor de identificare și autentificare la recuperarea informațiilor Ki este o alegere echiprobabilă aleatorie a lui Ki dintr-un set de valori posibile.

Cea mai simplă metodă de aplicare a unei parole se bazează pe compararea parolei prezentate cu valoarea inițială stocată în memorie. Dacă valorile se potrivesc, atunci parola este considerată autentică, iar utilizatorul este considerat legitim. Parola trebuie criptată înainte de a fi trimisă pe un canal nesigur. Dacă atacatorul află cumva parola și numărul de identificare al utilizatorului legitim, va avea acces la sistem.

În loc de forma deschisă a parolei P, este mai bine să redirecționați maparea acesteia obținută folosind funcția unidirecțională f(P). Această transformare trebuie să asigure că parola nu poate fi dezvăluită de afișarea acesteia. Deci inamicul se confruntă cu o problemă numerică de nerezolvat.

De exemplu, funcția f ar putea fi definită astfel:

f(P) = E P (ID),
unde P este o parolă, ID este un identificator, E P este o procedură de criptare efectuată folosind o parolă ca cheie.

În practică, parola este formată din mai multe litere. Dar o parolă scurtă este vulnerabilă la un atac cu forță brută. Pentru a preveni un astfel de atac, funcția f este definită diferit:

f(P) = E P + K (ID),
unde K este o cheie (tabletă cu memorie Toch, cheie USB etc.)

Procedurile de identificare și autentificare a utilizatorului se pot baza nu numai pe informațiile secrete pe care utilizatorul le deține (parolă, cheie secretă, identificator personal etc.). Recent, identificarea și autentificarea biometrică a devenit din ce în ce mai răspândită, ceea ce face posibilă identificarea cu încredere a unui potențial utilizator prin măsurarea parametrilor fiziologici și a caracteristicilor unei persoane, a caracteristicilor comportamentului său.

Principalele avantaje metode biometrice identificare si autentificare:

• grad ridicat de fiabilitate a identificării prin caracteristici biometrice datorită unicității acestora;
• inseparabilitatea caracteristicilor biometrice de o persoană capabilă;
• dificultatea falsificării caracteristicilor biometrice.

Ca caracteristici biometrice care pot fi utilizate pentru a identifica un potențial utilizator, sunt utilizate următoarele:

• modelul irisului și retinei;
• amprentele digitale;
• forma geometrică a mâinii;
• forma și dimensiunea feței;
• termograma fetei;
• forma urechii;
• caracteristici vocale;
• caracteristicile biomecanice ale unei semnături olografe;
• caracteristicile biomecanice ale „scrisului de mână de la tastatură”.

La înregistrare, utilizatorul trebuie să demonstreze o dată sau de mai multe ori caracteristicile biometrice caracteristice ale acestora. Aceste semne (cunoscute ca autentice) sunt înregistrate de sistem ca o „imagine” de control a utilizatorului legitim. Această imagine de utilizator este stocată în formular electronicși este folosit pentru a verifica identitatea oricărei persoane care se usurează utilizatorului legitim respectiv.

Sisteme de identificare bazate pe modelul irisului și retinei poate fi împărțit în două clase:

• folosind desenul irisului ochiului;
• folosind desenul vaselor de sânge ale retinei ochiului.

Deoarece probabilitatea de repetare a acestor parametri este de 10 -78, aceste sisteme sunt cele mai fiabile dintre toate sistemele biometrice. Astfel de instrumente sunt folosite, de exemplu, în Statele Unite în zonele militare și de apărare.

Sisteme de identificare a amprentelor sunt cele mai comune. Unul dintre principalele motive pentru utilizarea pe scară largă a unor astfel de sisteme este disponibilitatea unor baze de date mari de date digitale. Principalii utilizatori ai unor astfel de sisteme în întreaga lume sunt poliția, diferite organizații guvernamentale și unele bănci.

Sisteme de identificare bazate pe forma geometrică a mâinii utilizați scanere cu formă de mână, de obicei montate pe pereți. De menționat că marea majoritate a utilizatorilor preferă sisteme de acest tip.

Sisteme de identificare facială și vocală sunt cele mai accesibile datorită costului redus, deoarece majoritatea computerelor moderne au facilități video și audio. Sistemele din această clasă sunt utilizate pe scară largă pentru identificarea de la distanță în rețelele de telecomunicații.

Sisteme de identificare bazate pe dinamica semnăturii scrise de mânăține cont de intensitatea fiecărui efort al semnatarului, de caracteristicile de frecvență a scrierii fiecărui element al semnăturii și de stilul semnăturii în ansamblu.

Sisteme de identificare după caracteristicile biomecanice ale „scrisului de mână de la tastatură” se bazează pe faptul că momentele de apăsare și eliberare a tastelor la tastarea de pe tastatură diferă semnificativ pentru diferiți utilizatori. Acest ritm dinamic de tastare („scriere de mână de la tastatură”) face posibilă construirea unor mijloace de identificare suficient de fiabile.

Trebuie remarcat faptul că utilizarea parametrilor biometrici în identificarea subiecților de acces la sistemele automatizate nu a primit încă un sprijin normativ și legal adecvat, în special sub formă de standarde. Prin urmare, utilizarea sistemelor identificare biometrică este permisă numai în sistemele care prelucrează și stochează date cu caracter personal constituind secrete comerciale și oficiale.

Autentificarea reciprocă a utilizatorilor

De obicei, părțile care intră într-un schimb de informații au nevoie de autentificare reciprocă. Acest proces se realizează la începutul unei sesiuni de comunicare.

Pentru autentificare sunt utilizate următoarele metode:

• mecanism cerere-răspuns;
• mecanism de marcare a timpului („timestamp”).

Mecanism cerere-răspuns. Dacă utilizatorul A dorește să fie sigur că mesajele pe care le primește de la utilizatorul B nu sunt false, el include în mesajul trimis către B un element imprevizibil - cererea X (de exemplu, unele Număr aleatoriu). Când răspunde, utilizatorul B trebuie să efectueze o operație predeterminată asupra acestui număr (de exemplu, să calculeze o funcție f(X)). Acest lucru nu poate fi făcut în avans, deoarece utilizatorul B nu știe ce număr aleator X va apărea în cerere. După ce a primit un răspuns cu rezultatul acțiunilor lui B, utilizatorul A poate fi sigur că B este autentic. Dezavantajul acestei metode este posibilitatea de a stabili un model între cerere și răspuns.

Mecanism de marcare temporală presupune înregistrarea timpului pentru fiecare mesaj. În acest caz, fiecare utilizator al rețelei poate determina cât de „învechit” este mesajul primit și nu-l poate accepta, deoarece poate fi fals.

În ambele cazuri, criptarea ar trebui utilizată pentru a proteja mecanismul de control pentru a se asigura că răspunsul nu este trimis de un atacator.

Există o problemă la utilizarea marcajelor de timp interval de timp de întârziere permis pentru autentificarea sesiunii. Până la urmă, un mesaj cu „ștampilă temporară” în principiu nu poate fi transmis instantaneu. În plus, ceasurile computerului destinatarului și expeditorului nu pot fi sincronizate perfect.

De obicei se folosește autentificarea reciprocă procedura de strângere de mână, care se bazează pe mecanismele de mai sus și constă în verificarea reciprocă a cheilor utilizate de părți. Cu alte cuvinte, părțile se recunosc reciproc ca parteneri legali dacă își dovedesc reciproc că dețin cheile corecte. Procedura de „strângere de mână” este utilizată în rețelele de calculatoare atunci când se organizează comunicarea între utilizatori, un utilizator și un computer gazdă, între computerele gazdă și așa mai departe.

Ca exemplu, luați în considerare procedura de strângere de mână pentru doi utilizatori A și B. Să fie folosit un criptosistem simetric. Utilizatorii A și B au aceeași cheie secretă K AB.

• Utilizatorul A inițiază „strângerea de mână” trimițând utilizatorului B ID-ul său A în text simplu.
• Utilizatorul B, după ce a primit ID-ul de identificare A, găsește cheia secretă K AB în baza de date și o introduce în sistemul său criptografic.
• Între timp, utilizatorul A generează o secvență aleatorie S cu generator pseudo-aleatoriu PG și îl trimite utilizatorului B ca criptogramă E K AB (S).
• Utilizatorul B decriptează această criptogramă și dezvăluie forma originală a secvenței S.
• Ambii utilizatori transformă apoi secvența S folosind funcția unidirecțională f.
• Utilizatorul B criptează mesajul f(S) și trimite criptograma E K AB (f(S)) utilizatorului A.
• În cele din urmă, utilizatorul A decriptează această criptogramă și compară mesajul primit f „(S) cu originalul f (S). Dacă aceste mesaje sunt egale, atunci utilizatorul A recunoaște identitatea utilizatorului B.

Utilizatorul A autentifică utilizatorul B în același mod. Ambele proceduri formează procedura de „strângere de mână”, care este de obicei efectuată chiar la începutul oricărei sesiuni de comunicare între oricare două părți din rețelele de calculatoare.

Avantajul modelului „strângere de mână” este că niciunul dintre participanții la comunicare nu primește informații secrete în timpul procedurii de autentificare.

Uneori, utilizatorii doresc să aibă autentificare continuă a expeditorului pe parcursul întregii sesiuni de comunicare. Să ne uităm la una dintre cele mai simple metode de autentificare continuă.

Pentru a trimite un mesaj M, utilizatorul A trimite o criptogramă E K (ID A , M). Destinatarul îl decriptează și dezvăluie perechea (ID A , M). Dacă ID-ul A primit se potrivește cu cel stocat, destinatarul ia în considerare mesajul.

În loc de identificatori, puteți folosi parole secrete care sunt pregătite în prealabil și cunoscute ambelor părți. Continuare: Protocoale de identificare cu cunoștințe zero

Literatură

1. Romanets Yu.V., Timofeev P.A., Shangin V.F. Protecția informațiilor în sisteme și rețele informatice. Ed. V.F. Shangin. - Ed. a II-a, revizuită. si suplimentare - M.: Radio și comunicare, 2001. - 376 p.: ill.