Qasja e paautorizuar në informacion është një njohje, përpunim, kopjim, përdorim i paplanifikuar i viruseve të ndryshëm, duke përfshirë ato që shkatërrojnë produktet softuerike, si dhe modifikimin ose shkatërrimin e informacionit në kundërshtim me rregullat e vendosura të kontrollit të aksesit.

Prandaj, nga ana tjetër, mbrojtja e informacionit nga qasja e paautorizuar është krijuar për të parandaluar një sulmues të hyjë në transportuesin e informacionit. Ekzistojnë tre drejtime kryesore në mbrojtjen e informacionit të kompjuterëve dhe rrjeteve nga NSD:

- fokusohet në parandalimin e hyrjes së ndërhyrësit në mjedisin kompjuterik dhe bazohet në mjete të veçanta teknike të identifikimit të përdoruesit;

- lidhet me mbrojtjen e mjedisit kompjuterik dhe bazohet në krijimin e softuerit të veçantë;

- lidhur me përdorimin e mjeteve speciale për mbrojtjen e informacionit kompjuterik nga aksesi i paautorizuar.

Duhet të kihet parasysh se teknologji të ndryshme dhe mjete të ndryshme përdoren për të zgjidhur secilën prej problemeve. Kërkesat për pajisjet mbrojtëse, karakteristikat e tyre, funksionet e kryera prej tyre dhe klasifikimi i tyre, si dhe termat dhe përkufizimet për mbrojtjen nga aksesi i paautorizuar jepen në dokumentet udhëzuese të Komisionit Teknik Shtetëror:

- “Sistemet e automatizuara. Mbrojtje kundër aksesit të paautorizuar në informacion. Klasifikimi i AU dhe kërkesat për mbrojtjen e informacionit ";

- “Ambjente kompjuterike. Mbrojtje kundër aksesit të paautorizuar në informacion. Treguesit e sigurisë kundër aksesit të paautorizuar në informacion ";

- “Mbrojtje nga aksesi i paautorizuar në informacion. Termat dhe përkufizimet". Mjetet teknike që zbatojnë funksionet e mbrojtjes mund të ndahen në:

o i integruar;

o e jashtme.

Mjetet e integruara për mbrojtjen e një kompjuteri personal dhe softuerit (Fig. 3.12) përfshijnë mjetet e mbrojtjes me fjalëkalim për BIOS, sistemin operativ dhe DBMS. Këto mjete mund të jenë sinqerisht të dobëta - BIOS me fjalëkalim mbikëqyrësi, mbrojtje me fjalëkalim Win95 / 98, por ato mund të jenë shumë më të forta - BIOS pa fjalëkalime mbikëqyrësi, mbrojtje me fjalëkalim të Windows NT, ORACLE DBMS. Përdorimi i pikave të forta të këtyre mjeteve ju lejon të forconi ndjeshëm sistemin për mbrojtjen e informacionit nga aksesi i paautorizuar.

Mjetet e jashtme janë krijuar për të zëvendësuar veglat e integruara për të forcuar mbrojtjen ose për t'i plotësuar ato me funksione që mungojnë.

Kjo perfshin:

- hardueri i besuar i nisjes;

- sistemet harduerike dhe softuerike për ndarjen e të drejtave të aksesit të përdoruesve;

- mjetet e vërtetimit të fortë të lidhjeve të rrjetit.

Hardueri i besuar i nisjes është një produkt, i referuar ndonjëherë si "bllokim elektronik", funksioni i të cilit është të identifikojë në mënyrë të sigurt përdoruesin dhe gjithashtu të verifikojë integritetin e softuerit të kompjuterit. Zakonisht kjo është një kartë për zgjerimin e kompjuterit me softuerin e nevojshëm të shkruar ose në memorien flash të kartës ose në hard diskun e kompjuterit.

Parimi i funksionimit të tyre është i thjeshtë. Gjatë procesit të nisjes, BIOS-i dhe bordet e mbrojtjes kundër ndërhyrjeve fillojnë. Ai kërkon një ID të përdoruesit dhe e krahason atë me atë të ruajtur në memorien flash të kartës. Identifikuesi mund të mbrohet gjithashtu me një fjalëkalim. Pastaj fillon sistemi operativ i integruar i bordit ose kompjuterit (më shpesh është një variant i MS-DOS), pas së cilës fillon programi për kontrollimin e integritetit të softuerit. Si rregull, kontrollohen zonat e sistemit të diskut të nisjes, skedarët e nisjes dhe skedarët e vendosur nga përdoruesi për verifikim. Kontrolli kryhet ose në bazë të imitimit të algoritmit GOST 28147-89, ose në bazë të funksionit hash të algoritmit GOST R 34.11-34 ose një algoritmi tjetër. Rezultati i testit krahasohet me atë të ruajtur në memorien flash të kartës. Nëse, si rezultat i krahasimit, kur kontrolloni identifikuesin ose integritetin e sistemit, zbulohet një ndryshim me standardin, bordi do të bllokojë punën e mëtejshme dhe do të shfaqë një mesazh përkatës në ekran. Nëse kontrollet janë pozitive, bordi transferon kontrollin te kompjuteri personal për ngarkim të mëtejshëm të sistemit operativ.

Të gjitha kontrollet e identifikimit dhe integritetit janë regjistruar. Përparësitë e pajisjeve të kësaj klase janë besueshmëria e tyre e lartë, thjeshtësia dhe çmimi i ulët. Në mungesë të punës me shumë përdorues në kompjuter, funksionet mbrojtëse të këtij mjeti zakonisht janë të mjaftueshme.

Sistemet harduerike dhe softuerike për ndarjen e të drejtave të aksesit përdoren në rastin e disa përdoruesve që punojnë në një kompjuter, nëse detyra është të ndajnë fuqitë e tyre për të hyrë në të dhënat e njëri-tjetrit. Zgjidhja e këtij problemi bazohet në: 01 ndalimin e përdoruesve të lëshojnë aplikacione dhe procese të caktuara; Q Lejimi i përdoruesve dhe aplikacioneve që ata drejtojnë vetëm për një lloj të caktuar veprimi me të dhëna.

Zbatimi i ndalesave dhe lejeve arrihet në mënyra të ndryshme. Si rregull, gjatë fillimit të sistemit operativ, lëshohet edhe programi i aksesit të paautorizuar. Ai është i pranishëm në kujtesën e kompjuterit si një modul rezident dhe kontrollon veprimet e përdoruesve për të nisur aplikacionet dhe për të hyrë në të dhëna. Të gjitha veprimet e përdoruesit regjistrohen në regjistër, i cili është i aksesueshëm vetëm për administratorin e sigurisë. Mjetet e kësaj klase zakonisht kuptohen si mjete mbrojtëse kundër aksesit të paautorizuar. Ato janë komplekse harduerike dhe softuerike të përbëra nga hardueri - një bord i besueshëm i nisjes së kompjuterit, i cili tani kontrollon gjithashtu integritetin e softuerit të vetë sistemit të mbrojtjes kundër ndërhyrjeve në hard disk, dhe pjesën e softuerit - programin e administratorit, modulin rezident. . Këto programe janë të vendosura në një drejtori të veçantë dhe janë të disponueshme vetëm për administratorin. Këto sisteme mund të përdoren në një sistem me një përdorues për të kufizuar përdoruesin të instalojë dhe ekzekutojë programe që nuk i nevojiten në punën e tij.

Mjetet e autentifikimit të zgjeruar të lidhjeve të rrjetit përdoren kur funksionimi i stacioneve të punës si pjesë e një rrjeti imponon kërkesa për mbrojtjen e burimeve të një stacioni pune nga kërcënimi i hyrjes së paautorizuar në një stacion pune nga ana e rrjetit dhe ndryshimit të informacionit ose softuerit, gjithashtu. si fillimi i një procesi të paautorizuar. Mbrojtja kundër ndërhyrjeve nga ana e rrjetit arrihet me anë të autentifikimit të përmirësuar të lidhjeve të rrjetit. Kjo teknologji quhet teknologji e rrjetit privat virtual.

Një nga detyrat kryesore të mbrojtjes kundër aksesit të paautorizuar është sigurimi i identifikimit të besueshëm të përdoruesit (Fig. 3.13) dhe aftësia për të vërtetuar çdo përdorues të rrjetit që mund të identifikohet në mënyrë unike nga fakti se ai:

- përfaqëson veten.

Çfarë di përdoruesi? Emri dhe fjalëkalimi juaj. Skemat e identifikimit të fjalëkalimeve bazohen në këtë njohuri. Disavantazhi i këtyre skemave është se ai duhet të mbajë mend fjalëkalime komplekse, gjë që shumë shpesh nuk ndodh: ose fjalëkalimi zgjidhet i dobët, ose thjesht shkruhet në një fletore, në një copë letër etj. Në rastin e përdorimit vetëm mbrojtje me fjalëkalim, merren masat e duhura për të siguruar kontrollin e krijimit të fjalëkalimeve, ruajtjen e tyre, për të gjurmuar skadimin e përdorimit të tyre dhe fshirjen në kohë. Mbyllja e fjalëkalimit kriptografik mund ta trajtojë kryesisht këtë çështje dhe ta bëjë më të vështirë për një sulmues të anashkalojë mekanizmin e vërtetimit.

Çfarë mund të ketë një përdorues? Natyrisht, një çelës i veçantë është një identifikues unik, siç është një memorie me prekje tabletash (buton I), e-token, kartë inteligjente ose një çelës kriptografik që kodon hyrjen e tij në bazën e të dhënave të përdoruesit. Një sistem i tillë është më i sigurti, megjithatë, kërkon që përdoruesi të ketë gjithmonë një identifikues me vete, i cili më së shpeshti është i lidhur me një zinxhir çelësash me çelësa dhe shpesh harrohet në shtëpi ose humbet. Do të jetë e saktë nëse administratori lëshon identifikues në mëngjes dhe shkruan për këtë në regjistër dhe i pranon ato për ruajtje në mbrëmje, duke bërë përsëri një hyrje në regjistër.

Çfarë është një përdorues? Këto janë veçoritë që janë të natyrshme vetëm për këtë përdorues, vetëm për të, duke siguruar identifikimin biometrik. Një identifikues mund të jetë një gjurmë gishti, një vizatim i irisit të syve, një gjurmë pëllëmbë, etj. Aktualisht, ky është drejtimi më premtues në zhvillimin e mjeteve identifikuese. Ato janë të besueshme dhe në të njëjtën kohë nuk kërkojnë njohuri shtesë për diçka ose posedim të përhershëm të diçkaje nga përdoruesi. Me zhvillimin e teknologjisë dhe kostoja e këtyre fondeve bëhet e disponueshme për çdo organizatë.

Është detyrë e mekanizmave të ndryshëm të identifikimit dhe vërtetimit për të siguruar që identiteti i një përdoruesi të verifikohet.

Secilit përdorues (grup përdoruesish) në rrjet i është caktuar një veçori e caktuar dalluese - një identifikues dhe krahasohet me listën e miratuar. Megjithatë, vetëm identifikuesi i deklaruar në rrjet nuk mund të sigurojë mbrojtje kundër lidhjeve të paautorizuara pa verifikuar identitetin e përdoruesit.

Procesi i verifikimit të identitetit të një përdoruesi quhet autentifikimi. Ndodh me ndihmën e një veçorie të veçantë dalluese të paraqitur nga përdoruesi - një vërtetues i natyrshëm në të. Efektiviteti i vërtetimit përcaktohet kryesisht nga karakteristikat dalluese të secilit përdorues.

Mekanizmat specifikë të identifikimit dhe vërtetimit në rrjet mund të zbatohen bazuar në mjetet dhe procedurat e mëposhtme për mbrojtjen e informacionit:

- fjalëkalime;

- mjete teknike;

- mjetet biometrike;

- kriptografi me çelësa unikë për çdo përdorues.

Çështja e zbatueshmërisë së një mjeti të caktuar vendoset në varësi të kërcënimeve të identifikuara, karakteristikave teknike të objektit të mbrojtur. Nuk mund të thuhet pa mëdyshje se përdorimi i harduerit që përdor kriptografinë do t'i japë sistemit më shumë besueshmëri sesa përdorimi i softuerit.

Analizimi i sigurisë së një objekti informacioni dhe identifikimi i kërcënimeve për sigurinë e tij është një procedurë jashtëzakonisht komplekse. Një procedurë po aq e ndërlikuar është përzgjedhja e teknologjive dhe mjeteve të mbrojtjes për të eliminuar kërcënimet e identifikuara. Zgjidhjen e këtyre problemeve është më mirë t'ia besoni specialistëve me përvojë të pasur.

Mbrojtja kundër aksesit të paautorizuar (mbrojtja kundër ndërhyrjeve) është parandalimi ose ndërlikimi i rëndësishëm i aksesit të paautorizuar.

Një mjet për mbrojtjen e informacionit nga aksesi i paautorizuar (SZI nga aksesi i paautorizuar) është një softuer, harduer ose softuer dhe mjet harduerësh i krijuar për të parandaluar ose penguar ndjeshëm aksesin e paautorizuar.

Emërimi dhe klasifikimi i përgjithshëm i sistemeve të sigurisë së informacionit.

Sistemi i sigurisë së informacionit nga NSD mund të ndahet në universal dhe të specializuar (sipas fushës së aplikimit), në zgjidhje private dhe komplekse (sipas grupit të detyrave që do të zgjidhen), në mjete të integruara të sistemit dhe shtesë (sipas mënyra e zbatimit).

Klasifikimi është jashtëzakonisht i rëndësishëm, pasi kur ndërtohet një sistem i sigurisë së informacionit të secilit lloj, zhvilluesit formulojnë dhe zgjidhin probleme krejtësisht të ndryshme (ndonjëherë në kundërshtim me njëri-tjetrin). Kështu, koncepti i mbrojtjes së mjeteve të sistemit universal bazohet në parimet e "besimit të plotë te përdoruesi"; mbrojtja e tyre është kryesisht e padobishme në sistemet e korporatave, për shembull, kur zgjidhen problemet e përballjes me kërcënimet e brendshme të TI. Në shumicën dërrmuese të ditëve të sotme, sistemet e sigurisë së informacionit janë krijuar për të forcuar mekanizmat e mbrojtjes të ndërtuara në sistemet operative universale, siç aplikohen për t'u përdorur në një mjedis korporativ. Nëse po flasim për një sërë detyrash për t'u zgjidhur, atëherë duhet të flasim për integrimin e mekanizmave si në drejtim të zgjidhjes efektive të një problemi specifik mbrojtës, ashtu edhe në drejtim të zgjidhjes së një sërë detyrash.

Karakteristikat e konsumatorit (qëllimi) i sistemit shtesë të sigurisë së informacionit nga NSD përcaktohen nga shkalla në të cilën mjetet shtesë eliminojnë mangësitë arkitekturore të mekanizmave të sigurisë të integruara në OS, siç zbatohen për zgjidhjen e detyrave të kërkuara në aplikacionet e korporatave, dhe sa gjithëpërfshirëse (në mënyrë efektive) e zgjidh këtë grup problemesh të sigurisë së informacionit.

Çështjet e vlerësimit të efektivitetit të informacionit të sigurisë së informacionit nga NSD

Efektiviteti i sistemit të sigurisë së informacionit nga NSD mund të vlerësohet duke shqyrtuar çështjet e korrektësisë së zbatimit të mekanizmave mbrojtës dhe mjaftueshmërisë së një sërë mekanizmash mbrojtës në lidhje me kushtet praktike të përdorimit.

Vlerësimi i korrektësisë së zbatimit të mekanizmave mbrojtës

Në pamje të parë, një vlerësim i tillë nuk është i vështirë për t'u kryer, por në praktikë nuk është gjithmonë kështu. Një shembull: në NTFS, një objekt skedari mund të identifikohet në mënyra të ndryshme: objektet e skedarëve të specifikuar me emra të gjatë mund të aksesohen me një emër të shkurtër (për shembull, drejtoria e skedarëve të programit mund të aksesohet me emrin e shkurtër "Progra ~ 1") , dhe disa objekte të skedarëve të programeve aksesohen jo me emër, por me ID. Nëse sistemi i informacionit të sigurisë së informacionit i instaluar në sistemin e informacionit nuk përgjon dhe analizon vetëm një mënyrë të ngjashme për të hyrë në një objekt skedari, atëherë, në përgjithësi, ai bëhet plotësisht i padobishëm (herët a vonë sulmuesi do të zbulojë këtë mungesë të mjeteve mbrojtëse dhe perdore). Le të përmendim gjithashtu se objektet e skedarëve që nuk ndahen midis përdoruesve të sistemit dhe aplikacioneve mund të shërbejnë si një "kanal" për uljen e kategorisë së dokumenteve, gjë që mohon mbrojtjen e informacionit konfidencial. Shembuj të tillë ka shumë.

Kërkesat për korrektësinë e zbatimit të mekanizmave mbrojtës përcaktohen në dokumentin normativ "Komisioni Teknik Shtetëror i Rusisë. Dokument udhëzues. Pajisjet kompjuterike. Mbrojtje kundër aksesit të paautorizuar në informacion. Treguesit e sigurisë nga NSD tek informacioni "; përdoret për certifikimin e sistemit të sigurisë së informacionit nga NSD.

Këto kërkesa janë të pranishme në dokument në vëllimin e kërkuar, ato janë të sakta, por janë të formuluara në mënyrë të përgjithshme (në të kundërtën, do të ishte e nevojshme të krijoni dokumentin tuaj rregullator për secilën familje OS, dhe ndoshta për çdo zbatim të OS të e njëjta familje), dhe për përmbushjen e një kërkese mund të kërkohet zbatimi i disa mekanizmave mbrojtës. Pasoja e kësaj është paqartësia e interpretimit të këtyre kërkesave (përsa i përket qasjeve ndaj zbatimit të tyre) dhe mundësia e qasjeve thelbësisht të ndryshme për zbatimin e mekanizmave mbrojtës në sistemin e sigurisë së informacionit nga NSD nga zhvilluesit. Rezultati është një efikasitet i ndryshëm i informacionit të sigurisë së informacionit nga NSD midis prodhuesve që zbatojnë të njëjtat kërkesa të formalizuara. Por mospërputhja me ndonjë nga këto kërkesa mund të anulojë të gjitha përpjekjet për të garantuar sigurinë e informacionit.

Vlerësimi i mjaftueshmërisë (plotësisë) së një grupi mekanizmash mbrojtës

Kërkesat për mjaftueshmërinë (plotësinë, në lidhje me kushtet e përdorimit) të një grupi mekanizmash mbrojtës përcaktohen nga dokumenti "Komisioni Teknik Shtetëror i Rusisë. Dokument udhëzues. Sisteme të automatizuara. Mbrojtje kundër aksesit të paautorizuar në informacion. Treguesit e sigurisë nga aksesi i paautorizuar në informacion ", i cili përdoret gjatë certifikimit të objekteve të informatizimit, përfshirë kur përdorni sistemin e informacionit të sigurisë së informacionit nga aksesi i paautorizuar në AS. Megjithatë, edhe këtu, situata është kryesisht e ngjashme me atë të përshkruar më sipër.

Pra, formulimi i kërkesës për mjaftueshmërinë e mekanizmave në sistemin e sigurisë së informacionit nga NSD për mbrojtjen e të dhënave konfidenciale në dokumentet rregullatore, në të cilat ka një paqartësi në përcaktimin se çfarë duhet t'i atribuohet burimeve të mbrojtura, do të ishte e këshillueshme. të zgjerohet, për shembull, si më poshtë: pajisje të veçanta, në përputhje me kushtet e përdorimit praktik të objektit të mbrojtur kompjuterik, dhe kontrollin e aksesit të subjekteve në burimet e mbrojtura, veçanërisht në pajisjet e lejuara për lidhje.

Vini re se mekanizmat për kontrollin e aksesit në burimet që janë gjithmonë të pranishme në sistem janë objektet e skedarëve, objektet e regjistrit të OS, etj. - të mbrojtura apriori dhe duhet të jenë të pranishme në sistemin e sigurisë së informacionit nga sistemi i paautorizuar në çdo rast, si dhe për burimet e jashtme, duke marrë parasysh qëllimin e sistemit të sigurisë së informacionit. Nëse qëllimi i sistemit të sigurisë së informacionit është mbrojtja e kompjuterëve në rrjet, atëherë ai duhet të ketë mekanizma për kontrollin e aksesit në burimet e rrjetit; nëse shërben për mbrojtjen e kompjuterëve autonomë, atëherë duhet të sigurojë kontrollin (ndalimin) e lidhjes së burimeve të rrjetit me kompjuterin. Ky rregull, për mendimin tonë, është i përshtatshëm për të gjitha burimet pa përjashtim dhe mund të përdoret si një kërkesë bazë për një grup mekanizmash mbrojtës gjatë vërtetimit të objekteve të informatizimit.

Çështjet e mjaftueshmërisë së mekanizmave mbrojtës duhet të konsiderohen jo vetëm në lidhje me një grup burimesh, por edhe në lidhje me problemet e mbrojtjes së informacionit që zgjidhen. Ekzistojnë vetëm dy detyra të tilla në sigurimin e sigurisë së kompjuterit - kundërvënia ndaj kërcënimeve të brendshme dhe të jashtme të IT.

Detyra e përgjithshme për të luftuar kërcënimet e brendshme të TI-së është të sigurojë kufizimin e aksesit në burime në përputhje me kërkesat për përpunimin e të dhënave të kategorive të ndryshme të konfidencialitetit. Ekzistojnë qasje të ndryshme për përcaktimin e diferencimit: sipas llogarisë, sipas procesit, bazuar në kategorinë e dokumentit të lexuar. Secila prej tyre vendos kërkesat e veta për mjaftueshmëri. Pra, në rastin e parë, ju duhet të izoloni clipboard midis përdoruesve; në të dytën - midis proceseve; për rastin e tretë, përgjithësisht është e nevojshme të rishikohet rrënjësisht e gjithë politika kufitare e aksesit në të gjitha burimet, pasi i njëjti përdorues mund të përpunojë të dhëna të kategorive të ndryshme të konfidencialitetit me të njëjtin aplikacion.

Ekzistojnë dhjetëra metoda të komunikimit ndërprocesor (kanalet e emërtuara, sektorët e memories, etj.), Prandaj është e nevojshme të sigurohet mbyllja e mjedisit të softuerit - për të parandaluar mundësinë e fillimit të një programi që zbaton një kanal të tillë shkëmbimi. Ekzistojnë gjithashtu çështje të burimeve të pandashme nga sistemi dhe aplikacionet, kontrolli i identifikimit të saktë të subjektit të aksesit, mbrojtja e vetë ISS nga aksesi i paautorizuar (lista e mekanizmave të nevojshëm mbrojtës për zgjidhjen efektive të këtij problemi është shumë mbresëlënëse). Shumica e tyre nuk janë të përcaktuara qartë në dokumentet rregullatore.

Detyra për t'iu kundërvënë në mënyrë efektive kërcënimeve të jashtme të TI-së, për mendimin tonë, mund të zgjidhet vetëm nëse vendoset një politikë kufizimi për subjektin "proces" (d.m.th., "procesi" duhet të konsiderohet si një subjekt i pavarur i aksesit në burime). Kjo për faktin se është ai që mbart kërcënimin e një sulmi të jashtëm. Nuk ka një kërkesë të tillë në mënyrë eksplicite në dokumentet rregullatore, por në këtë rast, zgjidhja e problemit të mbrojtjes së informacionit kërkon një rishikim rrënjësor të parimeve bazë për zbatimin e politikës së delimitimit të aksesit në burime.

Nëse çështjet e mjaftueshmërisë së mekanizmave të mbrojtjes në lidhje me grupin e burimeve të mbrojtura janë ende disi të përshtatshme për formalizimin, atëherë në lidhje me detyrat e mbrojtjes së informacionit nuk është e mundur të zyrtarizohen kërkesa të tilla.

Në këtë rast, sistemet e sigurisë së informacionit nga NSD të prodhuesve të ndryshëm që plotësojnë kërkesat e formalizuara të dokumenteve rregullatore mund të kenë gjithashtu dallime thelbësore si në qasjet e zbatuara dhe zgjidhjet teknike, ashtu edhe në efektivitetin e këtyre mjeteve në përgjithësi.

Si përfundim, vërejmë se nuk duhet nënvlerësuar rëndësia e detyrës së zgjedhjes së një sistemi të sigurisë së informacionit nga një NSD, pasi kjo është një klasë e veçantë e mjeteve teknike, efektiviteti i të cilave nuk mund të jetë i lartë ose i ulët. Duke marrë parasysh kompleksitetin e vlerësimit të efikasitetit real të sistemit të sigurisë së informacionit nga NSD, ne rekomandojmë që konsumatori të përfshijë specialistë (mundësisht nga radhët e zhvilluesve që praktikisht përballen me këto probleme) në fazën e zgjedhjes së sistemit të sigurisë së informacionit nga NSD .

Mbrojtje kundër aksesit të paautorizuar në të dhëna

Qasja e paautorizuar (NSD) e një sulmuesi në një kompjuter është e rrezikshme jo vetëm nga mundësia e leximit dhe/ose modifikimit të dokumenteve elektronike të përpunuara, por edhe nga mundësia e futjes së një faqerojtësi të softuerit të kontrolluar nga sulmuesi, i cili do t'i lejojë atij të marrë veprimet e mëposhtme:

2. Përgjoni informacione të ndryshme kyçe të përdorura për mbrojtjen e dokumenteve elektronike.

3. Përdorni kompjuterin e rrëmbyer si trampolinë për të rrëmbyer kompjuterë të tjerë në rrjetin lokal.

4. Shkatërroni informacionin e ruajtur në kompjuter ose çaktivizoni kompjuterin duke ekzekutuar softuer me qëllim të keq.

Mbrojtja e kompjuterëve nga ndërhyrjet është një nga problemet kryesore të sigurisë së informacionit, prandaj, shumica e sistemeve operative dhe paketave softuerike të njohura kanë të integruar nënsisteme të ndryshme për mbrojtjen nga ndërhyrjet. Për shembull, kryerja e vërtetimit të përdoruesit kur hyni në sistemet operative të familjes Windows. Sidoqoftë, nuk ka dyshim se mjetet e integruara të sistemeve operative nuk janë të mjaftueshme për mbrojtje serioze kundër ndërhyrjeve. Fatkeqësisht, zbatimi i nënsistemeve të mbrojtjes për shumicën e sistemeve operative shpesh shkakton kritika për shkak të dobësive të zbuluara rregullisht që lejojnë aksesin në objektet e mbrojtura duke anashkaluar rregullat e kontrollit të aksesit. Paketat e shërbimit dhe rregullimet e lëshuara nga prodhuesit e programeve kompjuterike mbeten objektivisht prapa informacionit për dobësitë e zbuluara. Prandaj, përveç mjeteve standarde të mbrojtjes, është e nevojshme të përdoren mjete të posaçme për kufizimin ose kufizimin e aksesit.
Këto fonde mund të ndahen në dy kategori:

1. Mjetet e kufizimit të aksesit fizik.

2. Mjetet e mbrojtjes kundër aksesit të paautorizuar në rrjet.

Mjetet e kufizimit të aksesit fizik

Zgjidhja më e besueshme për problemin e kufizimit të aksesit fizik në një kompjuter është përdorimi i harduerit për të mbrojtur informacionin nga manipulimi, i cili kryhet përpara se sistemi operativ të ngarkohet. Mbrojtjet në këtë kategori quhen "brava elektronike". Një shembull i një bllokimi elektronik është paraqitur në Fig. 5.3.

Figura 5.3 - Bllokimi elektronik për autobusin PCI

Në teori, çdo softuer i kontrollit të aksesit mund të sulmohet nga një sulmues në mënyrë që të shtrembërojë algoritmin e një mjeti të tillë dhe më pas të fitojë akses në sistem. Është pothuajse e pamundur ta bësh këtë me një mjet sigurie harduerike: bllokimi elektronik kryen të gjitha veprimet për të kontrolluar aksesin e përdoruesit në mjedisin e tij të softuerit të besuar, i cili nuk i nënshtrohet ndikimeve të jashtme.
Në fazën përgatitore të përdorimit të bllokimit elektronik, ai instalohet dhe konfigurohet. Konfigurimi përfshin veprimet e mëposhtme, të kryera zakonisht nga personi përgjegjës - administratori i sigurisë:

1. Krijimi i një liste të përdoruesve të cilëve u lejohet aksesi në kompjuterin e mbrojtur. Për çdo përdorues, formohet një medium kyç (në varësi të ndërfaqeve të mbështetura nga një bllokues i veçantë - një floppy disk, një tabletë elektronike iButton ose një kartë inteligjente), e cila do të përdoret për të vërtetuar përdoruesin në hyrje. Lista e përdoruesve ruhet në kujtesën jo të paqëndrueshme të bllokimit.

2. Formimi i një liste skedarësh, integriteti i të cilave kontrollohet nga kyçi përpara se të ngarkohet sistemi operativ i kompjuterit. Skedarët e rëndësishëm të sistemit operativ i nënshtrohen kontrollit, për shembull, sa vijon:

Bibliotekat e Sistemit Dritaret;

Modulet e ekzekutueshme të aplikacioneve të përdorura;

Modelet e dokumenteve Microsoft Word etj.

Kontrolli i integritetit të skedarit është llogaritja e shumës së kontrollit të tyre të referencës, për shembull, hashimi sipas algoritmit GOST R 34.11-94, ruajtja e vlerave të llogaritura në memorien e paqëndrueshme të bllokimit dhe më pas llogaritja e shumave reale të kontrollit të skedarëve dhe krahasimi i tyre me ato referuese. Në mënyrën normale të funksionimit, bllokimi elektronik merr kontrollin nga BIOS-i i kompjuterit të mbrojtur pasi ky i fundit të jetë ndezur. Në këtë fazë, kryhen të gjitha veprimet për të kontrolluar aksesin në kompjuter (shih diagramin e thjeshtuar të algoritmit në Fig.5.4), përkatësisht:

Figura 5.4 - Diagrami i thjeshtuar i algoritmit të bllokimit elektronik

1. Kyçi i kërkon përdoruesit një medium me informacionin kyç të nevojshëm për vërtetimin e tij. Nëse informacioni kryesor i formatit të kërkuar nuk jepet, ose nëse përdoruesi i identifikuar nga informacioni i dhënë nuk përfshihet në listën e përdoruesve të kompjuterit të mbrojtur, bllokimi do të bllokojë kompjuterin nga nisja.

2. Nëse vërtetimi i përdoruesit është i suksesshëm, bllokuesi llogarit shumat e kontrollit të skedarëve që gjenden në listën e kontrolluar dhe krahason shumat e kontrollit të marra me ato të referencës. Nëse integriteti i të paktën një skedari nga lista cenohet, kompjuteri bllokohet nga ngarkimi. Për punë të mëtejshme në këtë kompjuter, problemi duhet të zgjidhet nga Administratori, i cili duhet të zbulojë arsyen e ndryshimit të skedarit të kontrolluar dhe, në varësi të situatës, të ndërmarrë një nga veprimet e mëposhtme për të mundësuar punën e mëtejshme me kompjuterin e mbrojtur:

Rikuperoni skedarin origjinal;

Hiqni një skedar nga lista e kontrolluar.

3. Nëse të gjitha kontrollet janë të suksesshme, kyçi i kthen kontrollin kompjuterit për të ngarkuar sistemin standard operativ.

Meqenëse hapat e mësipërm kryhen përpara se sistemi operativ i kompjuterit të ngarkohet, bllokuesi zakonisht ngarkon sistemin e tij operativ (i vendosur në memorien e tij jo të paqëndrueshme - zakonisht kjo MS-DOS ose të ngjashme OS, e cila nuk imponon kërkesa të mëdha për burime), në të cilën kryhen vërtetimi i përdoruesit dhe kontrollet e integritetit të skedarit. Kjo gjithashtu ka kuptim nga pikëpamja e sigurisë - sistemi operativ i vetë bllokimit nuk i nënshtrohet ndonjë ndikimi të jashtëm, gjë që pengon një sulmues të ndikojë në proceset e kontrollit të përshkruara më sipër. Informacioni në lidhje me hyrjet e përdoruesve në kompjuter, si dhe për përpjekjet e paautorizuara të aksesit, ruhet në regjistrin, i cili ndodhet në memorien jo të paqëndrueshme të bllokimit. Regjistri mund të shikohet nga Administratori. Ka një sërë problemesh kur përdorni bravë elektronike, në veçanti:

1. BIOS Disa kompjuterë modernë mund të konfigurohen në atë mënyrë që kontrolli të mos transferohet në BIOS-in e bllokimit gjatë nisjes. Për të kundërshtuar cilësime të tilla, kyçi duhet të jetë në gjendje të bllokojë kompjuterin nga nisja (për shembull, duke mbyllur kontaktet Rivendos) nëse bllokimi nuk ka marrë kontrollin brenda një intervali të caktuar kohor pas ndezjes së furnizimit me energji elektrike.

2. Një sulmues thjesht mund të tërheqë bllokimin nga kompjuteri. Megjithatë, ka një numër kundërmasash:

Masa të ndryshme organizative dhe teknike: mbyllja e kutisë së kompjuterit, sigurimi që përdoruesit të mos kenë akses fizik në njësinë e sistemit të kompjuterit, etj.

Ka bravë elektronike që mund të mbyllin kutinë e kompjuterit nga brenda me një bllokues të veçantë me komandën e administratorit - në këtë rast, bllokimi nuk mund të hiqet pa dëmtime të konsiderueshme në kompjuter.

Shumë shpesh, bravat elektronike kombinohen në mënyrë strukturore me një kodues harduerësh. Në këtë rast, masa e rekomanduar e mbrojtjes është përdorimi i një bllokimi në lidhje me një mjet softuerësh për kriptim transparent (automatik) të disqeve logjike në kompjuter. Në këtë rast, çelësat e enkriptimit mund të rrjedhin nga çelësat e përdorur për të vërtetuar përdoruesit në një bllokim elektronik, ose çelësa të veçantë, por të ruajtur në të njëjtin medium si çelësat e përdoruesit për t'u kyçur në kompjuter. Një mjet i tillë gjithëpërfshirës i mbrojtjes nuk do t'i kërkojë përdoruesit të kryejë ndonjë veprim shtesë, por gjithashtu do të parandalojë një sulmues që të ketë akses në informacion edhe nëse është hequr hardueri i bllokimit elektronik.

Mjetet e mbrojtjes kundër ndërhyrjeve në rrjet

Metodat më efektive të mbrojtjes kundër aksesit të paautorizuar në rrjetet kompjuterike janë rrjetet private virtuale ( VPN - Rrjeti privat virtual) dhe muri i zjarrit. Le t'i shqyrtojmë ato në detaje.

Rrjetet private virtuale

VPN-të ofrojnë mbrojtje automatike të integritetit dhe konfidencialitetit të mesazheve të transmetuara në rrjete të ndryshme publike, kryesisht në internet. Në fakt, VPNËshtë një grup rrjetesh, në perimetrin e jashtëm të të cilave janë instaluar VPN-agjentët (fig.5.5). VPN-agent është një program (ose kompleks softuer dhe harduer) që në fakt siguron mbrojtje të informacionit të transmetuar duke kryer operacionet e përshkruara më poshtë.

Oriz. 5.5 - Skema e ndërtimit të VPN

Përpara se të dërgoni ndonjë IP-paketë VPN- agjenti bën sa më poshtë:

1. Nga titulli IP-informacioni i paketës për adresuesin e tij është i theksuar. Sipas këtij informacioni bazuar në politikën e sigurisë së kësaj VPN-agjent, zgjidhen algoritmet e mbrojtjes (nëse VPN-agent suporton disa algoritme) dhe çelësa kriptografikë me të cilët do të mbrohet kjo paketë. Në rast se politika e sigurisë VPN-agjenti nuk ofrohet për dërgim IP-pako për adresuesin e dhënë, ose IP-paketë me këto karakteristika, dërgim IP- paketa është e bllokuar.

2. Duke përdorur algoritmin e zgjedhur të mbrojtjes së integritetit, ai gjenerohet dhe shtohet IP- një paketë nënshkrimi elektronik dixhital (EDS), një imitues ose një kontroll i ngjashëm.

3.Duke përdorur algoritmin e zgjedhur të enkriptimit, kryhet enkriptimi IP-paketë.

4.Përdorimi i algoritmit të vendosur të kapsulimit të paketave, i koduar IP- paketa vendoset në një paketë IP të gatshme për transmetim, titulli i së cilës, në vend të informacionit origjinal për adresuesin dhe dërguesin, përmban informacione rreth VPN-agjent i adresuesit dhe VPN-agjent i dërguesit. ato. Përkthimi i adresës së rrjetit është në proces.

5. Paketa dërgohet VPN- tek agjenti i adresuesit. Nëse është e nevojshme, ajo ndahet dhe paketat që rezultojnë dërgohen një nga një.

Gjatë marrjes IP-paketë VPN- agjenti bën sa më poshtë:

1. Nga titulli IP-informacioni i paketës për dërguesin e tij është i theksuar. Në rast se dërguesi nuk është ndër të lejuarit (sipas politikës së sigurisë) ose i panjohur (për shembull, kur merr një paketë me një titull të dëmtuar qëllimisht ose aksidentalisht), paketa nuk përpunohet dhe hidhet.

2. Sipas politikës së sigurisë, zgjidhen algoritmet për mbrojtjen e kësaj pakete dhe çelësash, me ndihmën e të cilëve do të deshifrohet paketa dhe do të kontrollohet integriteti i saj.

3. Pjesa informative (e kapsuluar) e paketës ndahet dhe deshifrohet.

4. Integriteti i paketës monitorohet në bazë të algoritmit të përzgjedhur. Nëse zbulohet një shkelje e integritetit, paketa hidhet.

5. Paketa i dërgohet adresuesit (nëpërmjet rrjetit të brendshëm) sipas informacionit në kokën e saj origjinale.

VPN-agjenti mund të vendoset drejtpërdrejt në kompjuterin e mbrojtur (për shembull, kompjuterët e "përdoruesve të largët" në Fig. 5.5). Në këtë rast, ai mbron shkëmbimin e informacionit vetëm të kompjuterit në të cilin është instaluar, megjithatë, parimet e funksionimit të tij të përshkruara më sipër mbeten të pandryshuara.
Rregulli themelor i ndërtimit VPN- Komunikimi ndërmjet LAN-it të siguruar dhe rrjetit të hapur duhet të kryhet vetëm nëpërmjet VPN-agjentët. Nuk duhet të ketë kategorikisht metoda komunikimi që anashkalojnë pengesën mbrojtëse në formë VPN-agjent. ato. duhet të përcaktohet një perimetër i mbrojtur, komunikimi me të cilin mund të kryhet vetëm nëpërmjet një mjeti të përshtatshëm mbrojtës. Një politikë sigurie është një grup rregullash sipas të cilave krijohen kanale të sigurta komunikimi ndërmjet pajtimtarëve. VPN... Kanale të tilla zakonisht quhen si tunele, analogjia me të cilën mund të shihet në vijim:

1. I gjithë informacioni i transmetuar brenda një tuneli është i mbrojtur nga shikimi dhe modifikimi i paautorizuar.

2. Kapsulimi IP- paketat ju lejojnë të arrini fshehjen e topologjisë së LAN-it të brendshëm: nga interneti, shkëmbimi i informacionit midis dy LAN-ve të mbrojtura shihet si një shkëmbim informacioni vetëm midis tyre. VPN-agjentët, pasi të gjithë të brendshëm IP-adresat e transmetuara në internet IP-paketimet nuk shfaqen në këtë rast.

Rregullat e krijimit të tunelit formohen në varësi të karakteristikave të ndryshme IP-paketat, për shembull, kryesore kur ndërtohet shumica VPN protokoll IPSec (Arkitektura e Sigurisë për IP) vendos grupin tjetër të të dhënave hyrëse, me anë të të cilit zgjidhen parametrat e tunelit dhe merret një vendim kur filtrohet një specifik IP-paketë:

1. IP-adresa e burimit. Mund të jetë jo vetëm një adresë IP e vetme, por edhe një adresë nënrrjeti ose një sërë adresash.

2. IP-adresa e destinacionit. Mund të jetë gjithashtu një gamë e qartë adresash duke përdorur një maskë ose model nënrrjeti.

3. Identifikuesi i përdoruesit (dërguesi ose marrësi).

4. Protokolli i shtresës së transportit ( TCP / UDP).

5. Numri i portit nga i cili ose në të cilin është dërguar paketa.

Një mur zjarri është një softuer ose mjet softuerësh dhe harduerësh që mbron rrjetet lokale dhe kompjuterët individualë nga aksesi i paautorizuar nga rrjetet e jashtme duke filtruar rrjedhën e dyanshme të mesazheve gjatë shkëmbimit të informacionit. Në fakt, muri i zjarrit është "zhveshur" VPN- një agjent që nuk kodon paketat dhe nuk kontrollon integritetin e tyre, por në disa raste ka një numër funksionesh shtesë, më të zakonshmet prej të cilave janë këto:

Skanim antivirus;

Kontrolli i korrektësisë së paketës;

Monitorimi i korrektësisë së lidhjeve (për shembull, vendosja, përdorimi dhe shkyçja TCP-sesione);

Kontrolli i përmbajtjes.

Quhen muret e zjarrit që nuk kanë funksionet e përshkruara më sipër dhe kryejnë vetëm filtrim të paketave filtrat e paketave... Për analogji me VPN-agjentët, ka edhe firewalls personal që mbrojnë vetëm kompjuterin në të cilin janë instaluar. Firewall-et janë gjithashtu të vendosura në perimetrin e rrjeteve të mbrojtura dhe filtrojnë trafikun e rrjetit sipas politikës së konfiguruar të sigurisë.

Një bllokim elektronik mund të zhvillohet në bazë të një koduesi harduer. Në këtë rast, fitohet një pajisje që kryen funksionet e kriptimit, gjenerimit të numrave të rastësishëm dhe mbrojtjes nga manipulimi. Një kriptor i tillë është në gjendje të jetë qendra e sigurisë së të gjithë kompjuterit; mbi bazën e tij, është e mundur të ndërtohet një sistem plotësisht funksional i mbrojtjes së të dhënave kriptografike, duke ofruar, për shembull, aftësitë e mëposhtme:

1. Mbrojtja e kompjuterit tuaj nga aksesi fizik.

2. Mbrojtja e kompjuterit tuaj nga ndërhyrjet në rrjet dhe organizimi VPN.

3. Kriptimi i skedarëve sipas kërkesës.

4. Kriptimi automatik i disqeve logjike të kompjuterit.

5. Llogaritja / verifikimi i EDS.

6. Mbrojtja e e-mail mesazheve.

Qasja e paautorizuar (OD) është një sekuestrim i paligjshëm i qëllimshëm i informacionit konfidencial nga një person që nuk ka të drejtë të aksesojë informacionin e mbrojtur. Rrugët më të zakonshme të ND drejt informacionit janë:

• përdorimi i pajisjeve përgjuese;
• fotografim në distancë;
• vjedhja e mbetjeve mediatike dhe dokumentare;
• leximi i informacionit të mbetur në memorien e sistemit pas ekzekutimit të kërkesave të autorizuara;
• lidhje të paligjshme me pajisjet dhe linjat e komunikimit të pajisjeve të projektuara posaçërisht që ofrojnë akses në informacion;
• çaktivizimi me qëllim të keq i mekanizmave mbrojtës;
• kopjimi i bartësve të informacionit me tejkalimin e masave mbrojtëse;
• maskimi si përdorues i regjistruar;
• deshifrimi i informacionit të koduar;
• infeksionet e informacionit etj.

Disa nga metodat e listuara ND kërkojnë mjaft njohuri teknike dhe zhvillime përkatëse të harduerit ose softuerit, të tjerat janë mjaft primitive. Pavarësisht nga rruga, rrjedhja e informacionit mund të shkaktojë dëme të konsiderueshme për organizatën dhe përdoruesit.

Shumica e mënyrave teknike të listuara të ND-së i japin vetes një bllokim të besueshëm me një sistem sigurie të projektuar dhe zbatuar siç duhet. Megjithatë, dëmi shpesh shkaktohet jo për shkak të "qëllimit keqdashës", por për shkak të gabimeve elementare të përdoruesit që prishin ose fshijnë aksidentalisht të dhënat jetike.

Pavarësisht ndryshimit të konsiderueshëm në masën e dëmit material të shkaktuar, duhet theksuar se problemi i mbrojtjes së informacionit është i rëndësishëm jo vetëm për personat juridikë. Çdo përdorues mund ta hasë atë si në punë ashtu edhe në shtëpi. Në këtë drejtim, të gjithë përdoruesit duhet të jenë të vetëdijshëm për masën e përgjegjësisë dhe të ndjekin rregullat elementare për përpunimin, transferimin dhe përdorimin e informacionit.

Mekanizmat e mbrojtjes që synojnë zgjidhjen e problemit të ND në lidhje me informacionin përfshijnë:

• kontrolli i aksesit - metodat e mbrojtjes së informacionit duke rregulluar përdorimin e të gjitha burimeve të sistemit të informacionit;
• regjistrimi dhe kontabiliteti - mbajtja e regjistrave dhe statistikave të thirrjeve drejt burimeve të mbrojtura;
• përdorimi i mekanizmave të ndryshëm të enkriptimit (mbyllja e informacionit kriptografik) - këto metoda mbrojtëse përdoren gjerësisht në përpunimin dhe ruajtjen e informacionit në media magnetike, si dhe transmetimin e tij përmes kanaleve të komunikimit në distanca të gjata;
• Masat legjislative - përcaktohen me akte legjislative të vendit, të cilat rregullojnë rregullat për përdorimin, përpunimin dhe transmetimin e informacionit me akses të kufizuar dhe vendosin masat e përgjegjësisë për shkeljen e këtyre rregullave;
• masa fizike - përfshin pajisje dhe struktura të ndryshme inxhinierike që pengojnë fizike

depërtimi i ndërhyrësve në objektet e mbrojtjes dhe mbrojtjes së personelit, burimeve materiale, informacionit nga veprimet e paligjshme.

Kontrolli i aksesit

Ekzistojnë tre mekanizma të përgjithësuar të kontrollit të aksesit të të dhënave: identifikimi i përdoruesit, mbrojtja e drejtpërdrejtë (fizike) e të dhënave dhe mbështetja për të drejtat e aksesit të përdoruesit në të dhëna me aftësinë për t'i transferuar ato.

Identifikimi i përdoruesit përcakton shkallën e aksesit në baza të ndryshme të të dhënave ose pjesë të bazave të të dhënave (relacione ose atribute). Në thelb është një tabelë renditjeje. Mbrojtja e të dhënave fizike lidhet më shumë me masat organizative, megjithëse çështjet individuale mund të lidhen drejtpërdrejt me të dhënat, për shembull, kodimi i tyre. Dhe, së fundi, mjetet e mbajtjes dhe transferimit të të drejtave të aksesit duhet të përcaktojnë rreptësisht natyrën e komunikimit të diferencuar me të dhënat.

Mënyra e mbrojtjes duke përdorur fjalëkalime të softuerit. Sipas kësaj metode, të zbatuar nga softueri, procedura e komunikimit ndërmjet përdoruesit dhe PC-së është projektuar në atë mënyrë që qasja në sistemin operativ ose skedarë të caktuar të ndalohet derisa të futet një fjalëkalim. Fjalëkalimi mbahet konfidencial nga përdoruesi dhe ndryshohet periodikisht për të parandaluar përdorimin e paautorizuar.

Metoda e fjalëkalimit është më e thjeshta dhe më e lira, por nuk siguron mbrojtje të besueshme. Nuk është sekret që fjalëkalimi mund të spiunohet ose zgjidhet duke përdorur prova dhe gabime ose programe speciale, dhe ju mund të keni akses në të dhënat. Për më tepër, cenueshmëria kryesore e metodës së fjalëkalimit qëndron në faktin se përdoruesit shpesh zgjedhin fjalëkalime shumë të thjeshta dhe të lehta për t'u mbajtur mend (dhe kështu të hamendësohen) që nuk ndryshojnë për një kohë të gjatë dhe shpesh mbeten të njëjta kur ndryshojnë një përdorues. . Pavarësisht nga disavantazhet e treguara, përdorimi i metodës së fjalëkalimit në shumë raste duhet të konsiderohet racional edhe në prani të metodave të tjera të mbrojtjes së harduerit dhe softuerit. Zakonisht, metoda e fjalëkalimit të softuerit kombinohet me metoda të tjera softuerike që përcaktojnë kufizime në llojet dhe objektet e aksesit.

Problemi i mbrojtjes së informacionit nga aksesi i paautorizuar është bërë veçanërisht i mprehtë me përdorimin e gjerë të rrjeteve kompjuterike lokale dhe, veçanërisht, globale. Në këtë drejtim, përveç kontrollit të aksesit, një element i domosdoshëm i mbrojtjes së informacionit në rrjetet kompjuterike është diferencimi i të drejtave të përdoruesve.

Në rrjetet kompjuterike, gjatë organizimit të kontrollit të aksesit dhe përcaktimit të fuqive të përdoruesve, më së shpeshti përdoren mjetet e integruara të sistemeve operative të rrjetit (OS). Përdorimi i sistemeve operative të sigurta është një nga kushtet më të rëndësishme për ndërtimin e sistemeve moderne të informacionit. Për shembull, UNIX lejon pronarin e një skedari t'u japë përdoruesve të tjerë të drejta vetëm për lexim ose vetëm për shkrim për secilin skedar të tij. Më i përhapuri në vendin tonë është sistemi operativ Windows NT, në të cilin ka gjithnjë e më shumë mundësi për ndërtimin e një rrjeti të vërtetë të mbrojtur nga ND deri tek informacioni. NetWare OS, përveç mjeteve standarde të kufizimit të aksesit, siç është sistemi i fjalëkalimeve dhe diferencimi i fuqive, ka një sërë veçorish të reja që ofrojnë klasën e parë të mbrojtjes së të dhënave, ofron mundësinë e kriptimit të të dhënave sipas parimit të " çelësi publik" (algoritmi RSA) me formimin e një nënshkrimi elektronik për paketat e transmetuara përmes rrjetit ...

Në të njëjtën kohë, në një sistem të tillë të organizimit të mbrojtjes, një pikë e dobët ende mbetet: niveli i aksesit dhe aftësia për të hyrë në sistem përcaktohen nga një fjalëkalim. Për të përjashtuar mundësinë e hyrjes së paautorizuar në një rrjet kompjuterik, kohët e fundit është përdorur një qasje e kombinuar - një fjalëkalim + identifikimi i përdoruesit nga një "çelës" personal. Si "Celës".

Kartat plastike me shirit magnetik mund të falsifikohen lehtësisht. Një shkallë më e lartë besueshmërie sigurohet nga kartat inteligjente - të ashtuquajturat karta mikroprocesorike (MP-card-points). Besueshmëria e tyre është kryesisht për shkak të pamundësisë së kopjimit ose falsifikimit në mënyrë artizanale. Përveç kësaj, gjatë prodhimit të kartave, një kod unik futet në çdo mikroqark, i cili nuk mund të dyfishohet. Kur karta i lëshohet përdoruesit, një ose më shumë fjalëkalime aplikohen për të, të njohura vetëm për pronarin e saj. Për disa lloje të kartave MP, një përpjekje për përdorim të paautorizuar përfundon me "mbylljen" e saj automatike. Për të rivendosur funksionalitetin e një karte të tillë, ajo duhet t'i paraqitet autoritetit përkatës. Për më tepër, teknologjia e kartave MP siguron kriptim të të dhënave të regjistruara në të në përputhje me standardin DES. Instalimi i një pajisjeje të veçantë leximi të kartave MP është e mundur jo vetëm në hyrje të ambienteve ku ndodhen kompjuterët, por edhe direkt në stacionet e punës dhe serverët e rrjetit.

Kjo qasje është shumë më e besueshme sesa përdorimi i fjalëkalimeve, sepse nëse fjalëkalimi fshihet, përdoruesi mund të mos dijë për të, por nëse karta mungon, mund të ndërmerret menjëherë masa.

Kartat inteligjente të kontrollit të aksesit ju lejojnë të realizoni, në veçanti, funksione të tilla si kontrolli i hyrjes, aksesi në pajisjet e një kompjuteri personal, aksesi në programe, skedarë dhe komanda. Përveç kësaj, është gjithashtu e mundur të kryhen funksione kontrolli, në veçanti, regjistrimi i përpjekjeve për të shkelur aksesin në burime, përdorimi i shërbimeve të ndaluara, programet, komandat DOS.

Me zgjerimin e ndërmarrjeve, rritjen e numrit të stafit dhe shfaqjen e degëve të reja, bëhet e nevojshme që përdoruesit e largët (ose grupet e përdoruesve) të kenë akses në burimet informatike dhe të informacionit të selisë së kompanisë. Më shpesh, linjat kabllore (telefonike të zakonshme ose të dedikuara) dhe kanalet radio përdoren për të organizuar akses në distancë. Në këtë drejtim, mbrojtja e informacionit të transmetuar përmes kanaleve të aksesit në distancë kërkon një qasje të veçantë.

Në veçanti, në urat dhe ruterat e aksesit në distancë, përdoret segmentimi i paketave - ndarja dhe transmetimi i tyre paralelisht në dy linja - gjë që e bën të pamundur "përgjimin" e të dhënave kur një "haker" lidhet ilegalisht me njërën prej linjave. Përveç kësaj, procedura për kompresimin e paketave të transmetuara të përdorura gjatë transmetimit të të dhënave garanton pamundësinë e deshifrimit të të dhënave "të përgjuara". Përveç kësaj, urat dhe ruterat e aksesit në distancë mund të programohen në mënyrë që përdoruesit e largët të kufizohen nga aksesi në burime të caktuara të rrjetit të terminalit kryesor.

Metoda automatike e kthimit të telefonatës mund të sigurojë mbrojtje më të mirë kundër aksesit të paautorizuar në sistem sesa fjalëkalimet e thjeshta të softuerit. Në këtë rast, përdoruesi nuk ka nevojë të mbajë mend fjalëkalimet dhe të monitorojë sekretin e tyre. Ideja pas një sistemi të kthimit të thirrjeve është shumë e thjeshtë. Përdoruesit e hequr nga baza qendrore e të dhënave nuk mund të hyjnë drejtpërdrejt në të. Së pari, ata marrin akses në një program të veçantë, të cilit i jepen kodet përkatëse të identifikimit. Pas kësaj, lidhja prishet dhe kontrollohen kodet e identifikimit. Nëse kodi i dërguar përmes kanalit të komunikimit është i saktë, atëherë përdoruesi i bëhet një telefonatë me fiksimin e njëkohshëm të datës, orës dhe numrit të telefonit. Disavantazhi i metodës në shqyrtim duhet t'i atribuohet kursit të ulët të këmbimit - koha mesatare e vonesës mund të llogaritet në dhjetëra sekonda.

Metoda e kriptimit të të dhënave

E përkthyer nga greqishtja, fjala kriptografi do të thotë kriptografi. Kjo është një nga metodat më efektive të mbrojtjes. Mund të jetë veçanërisht i dobishëm për ta vështirësuar aksesin e paautorizuar, edhe nëse mbrojtjet konvencionale janë anashkaluar. Ndryshe nga metodat e diskutuara më sipër, kriptografia nuk i fsheh mesazhet e transmetuara, por i konverton ato në një formë të paarritshme për personat që nuk kanë të drejta aksesi në to, siguron integritetin dhe vërtetësinë e informacionit në procesin e ndërveprimit të informacionit.

Informacioni i gatshëm për transmetim është i koduar duke përdorur disa algoritme të enkriptimit dhe çelësin e enkriptimit. Si rezultat i këtyre veprimeve, ai shndërrohet në një kod shifror, domethënë një tekst të mbyllur ose imazh grafik dhe në këtë formë transmetohet përmes kanalit të komunikimit. Prodhimi i koduar që rezulton nuk mund të kuptohet nga askush tjetër përveç pronarit të çelësit.

Një shifër zakonisht kuptohet si një familje transformimesh të kthyeshme, secila prej të cilave përcaktohet nga një parametër, i quajtur çelës, si dhe nga rendi në të cilin zbatohet ky transformim, i quajtur modaliteti i enkriptimit. Në mënyrë tipike, një çelës është një sekuencë alfabetike ose numerike.

Çdo transformim identifikohet në mënyrë unike nga një çelës dhe përshkruhet nga disa algoritme enkriptimi. Për shembull, algoritmi i kriptimit mund të parashikojë zëvendësimin e secilës shkronjë të alfabetit me një numër, dhe çelësi mund të jetë renditja e numrave të shkronjave të këtij alfabeti. Që shkëmbimi i të dhënave të koduara të jetë i suksesshëm, dërguesi dhe marrësi duhet të dinë çelësin e saktë dhe ta mbajnë sekret.

I njëjti algoritëm mund të përdoret për kriptim në mënyra të ndryshme. Çdo mënyrë kriptimi ka si avantazhe ashtu edhe disavantazhe. Prandaj, zgjedhja e mënyrës varet nga situata specifike. Gjatë deshifrimit, përdoret një algoritëm kriptografik, i cili në përgjithësi mund të ndryshojë nga algoritmi i përdorur për kriptim, prandaj, çelësat përkatës mund të ndryshojnë gjithashtu. Një palë algoritmesh enkriptimi dhe deshifrimi quhet kriptosistem (sistem shifror), dhe pajisjet që i zbatojnë ato quhen teknologji shifrore.

Të dallojë kriptosistemet simetrike dhe asimetrike. Në kriptosistemet simetrike, i njëjti çelës privat përdoret për enkriptim dhe deshifrim. Në kriptosistemet asimetrike, çelësat për enkriptim dhe deshifrim janë të ndryshëm, njëri prej tyre është privat dhe tjetri i hapur (publik).

Ekzistojnë mjaft algoritme të ndryshme për mbrojtjen e informacionit kriptografik, për shembull DES, RSA, GOST 28147-89, etj. Zgjedhja e metodës së enkriptimit varet nga karakteristikat e informacionit të transmetuar, vëllimi i tij dhe shpejtësia e kërkuar e transmetimit, si dhe nga aftësitë e pronarëve (kostoja e pajisjeve teknike të përdorura, besueshmëria e funksionimit, etj. etj.).

Kriptimi i të dhënave është përdorur tradicionalisht nga qeveria dhe departamentet e mbrojtjes, por ndërsa nevojat ndryshojnë, disa nga kompanitë më të njohura kanë filluar të përdorin fuqinë e kriptimit për të mbajtur informacionin konfidencial. Shërbimet financiare të kompanive (kryesisht në Shtetet e Bashkuara) përfaqësojnë një bazë të rëndësishme dhe të madhe përdoruesish, dhe shpesh kërkesa specifike i imponohen algoritmit të përdorur në procesin e kriptimit.

racionimi. Standardi i Enkriptimit të të Dhënave (DES) u zhvillua nga IBM në fillim të viteve 1970. dhe aktualisht është standardi i qeverisë për enkriptimin e informacionit dixhital. Rekomandohet nga Shoqata Amerikane e Bankierëve. Algoritmi i sofistikuar DES përdor një çelës 56-bit dhe barazi 8-bitësh dhe kërkon që një sulmues të ushtrojë forcë brutale prej 72 kadrilionë kombinime të mundshme të çelësave, duke siguruar një shkallë të lartë mbrojtjeje me kosto të ulët. Me ndryshime të shpeshta kyçe, algoritmi zgjidh në mënyrë të kënaqshme problemin e bërjes së informacionit konfidencial të paarritshëm. Në të njëjtën kohë, tregu për sistemet komerciale nuk kërkon gjithmonë mbrojtje aq të fortë sa qeveria ose departamentet e mbrojtjes, kështu që lloje të tjera produktesh, si PGP (Pretty Good Privacy), mund të përdoren. Kriptimi i të dhënave mund të kryhet në modalitetin On-line (në shkallën e marrjes së informacionit) dhe off-line (autonom).

Algoritmi RSA u shpik nga R.L. Ravest, A. Shamir dhe L. Aldeman në 1978 dhe përfaqëson një hap të rëndësishëm në kriptografi. Ky algoritëm është miratuar gjithashtu si standard nga Byroja Kombëtare e Standardeve.

DES është teknikisht një algoritëm simetrik, ndërsa RSA është asimetrik - një sistem i përbashkët në të cilin çdo përdorues ka dy çelësa, me vetëm një sekret. Çelësi publik përdoret për të enkriptuar mesazhin nga përdoruesi, por vetëm një marrës specifik mund ta deshifrojë atë me çelësin e tij privat; çelësi publik është i padobishëm për këtë. Kjo i bën të panevojshme marrëveshjet sekrete të transferimit të çelësave ndërmjet korrespondentëve. DES përcakton gjatësinë e të dhënave dhe çelësit në bit, dhe RSA mund të zbatohet me çdo gjatësi të çelësit. Sa më i gjatë të jetë çelësi, aq më i lartë është niveli i sigurisë (por procesi i kriptimit dhe deshifrimit gjithashtu bëhet më i gjatë). Nëse çelësat DES mund të gjenerohen në mikrosekonda, atëherë koha e përafërt për të gjeneruar një çelës RSA është dhjetëra sekonda. Prandaj, çelësat publikë RSA preferohen nga zhvilluesit e softuerit, dhe çelësat privatë DES preferohen nga zhvilluesit e harduerit.

Gjatë shkëmbimit të dokumenteve elektronike, mund të lindë një situatë kur njëra nga palët refuzon detyrimet e saj (refuzimi i autorësisë), si dhe falsifikimi i mesazheve të marra nga dërguesi (atribuimi i autorësisë). Mekanizmi kryesor për zgjidhjen e këtij problemi është krijimi i një analoge të një nënshkrimi të shkruar me dorë - një nënshkrim elektronik dixhital (CPU). Ekzistojnë dy kërkesa kryesore për një CPU: kompleksiteti i lartë i ndërhyrjeve dhe lehtësia e verifikimit.

Të dy sistemet e shifrimit simetrik dhe asimetrik mund të përdoren për të krijuar një CPU. Në rastin e parë, vetë mesazhi i koduar në çelësin sekret mund të shërbejë si nënshkrim. Por pas çdo kontrolli, çelësi sekret bëhet i njohur. Për të dalë nga kjo situatë, është e nevojshme të prezantohet një palë e tretë - një ndërmjetës i besuar nga çdo palë, i cili rikripton mesazhet nga çelësi i njërit prej pajtimtarëve në çelësin e tjetrit.

Sistemet e shifrimit asimetrik kanë të gjitha vetitë e kërkuara nga një CPU. Ekzistojnë dy qasje të mundshme për ndërtimin e CPU-së.

• 1. Konvertimi i mesazhit në një formë që mund të përdoret për të rivendosur vetë mesazhin dhe, në këtë mënyrë, për të kontrolluar korrektësinë e vetë nënshkrimit.
• 2. Nënshkrimi llogaritet dhe dërgohet së bashku me mesazhin origjinal.

Kështu, për shifra të ndryshme, problemi i deshifrimit - deshifrimi i një mesazhi nëse çelësi është i panjohur - ka kompleksitet të ndryshëm. Niveli i kompleksitetit të kësaj detyre përcakton veçorinë kryesore të shifrës - aftësinë për t'i rezistuar përpjekjeve të armikut për të zotëruar informacionin e mbrojtur. Në këtë drejtim, ata flasin për forcën kriptografike të shifrës, duke bërë dallimin midis shifrave më të forta dhe më pak të forta. Karakteristikat e metodave më të njohura të kriptimit janë paraqitur në tabelë. 10.1.

Tabela 10.1. Karakteristikat e metodave më të zakonshme të kriptimit

Ekziston një shëmbëlltyrë për mënyrën më të besueshme të ruajtjes së informacionit: Informacioni duhet të jetë në një kopje në një kompjuter, i cili është në një kasafortë të blinduar, i shkëputur nga të gjitha rrjetet dhe i çaktivizuar.

Është e qartë se puna me një informacion të tillë është, për ta thënë butë, e papërshtatshme. Në të njëjtën kohë, unë dua të mbroj programet dhe të dhënat nga aksesi i paautorizuar (NSD). Dhe në mënyrë që aksesi të autorizohet, duhet të vendosni se kush mund dhe çfarë nuk lejohet.

Për këtë ju duhet:

1. ndani në klasa informacionin e ruajtur dhe të përpunuar në kompjuter;
2. ndarja në klasa të përdoruesve të këtij informacioni;
3. për të vendosur klasat e marra të informacionit dhe përdoruesit në një korrespondencë të caktuar me njëri-tjetrin.

Qasja e përdoruesit në klasa të ndryshme informacioni duhet të kryhet në përputhje me një sistem fjalëkalimi, i cili mund të jetë:

• fjalëkalime të rregullta;
• brava dhe çelësa të vërtetë;
• teste speciale të identifikimit të përdoruesit;
• algoritme speciale identifikimi për kompjuterë personalë, disqe, softuer.

Sistemet e sigurisë së informacionit kundër ndërhyrjeve ofrojnë funksionet e mëposhtme:

1. identifikimi, d.m.th. caktimi i atributeve unike - identifikuesit, me të cilët sistemi më pas kryen vërtetimin;
2. vërtetimi, d.m.th. vërtetimi i bazuar në krahasimin me identifikuesit e referencës;
3. diferencimi i aksesit të përdoruesve në kompjuterë personalë;
4. diferencimi i aksesit të përdoruesit sipas operacioneve në burime (programe, të dhëna, etj.);
5. administrimi:
   • përcaktimi i të drejtave të aksesit në burimet e mbrojtura,
   • përpunimi i shkrimeve,
   • instalimi i një sistemi mbrojtës në një PC,
   • heqja e sistemit të mbrojtjes nga PC;
6. regjistrimi i ngjarjes:
   • identifikimi i përdoruesit,
   • dalja e një përdoruesi,
   • shkelje e të drejtave të aksesit;
7. reagimi ndaj përpjekjeve të një personi të paautorizuar;
8. kontrollin e integritetit dhe funksionalitetit të sistemeve të mbrojtjes;
9. sigurimi i sigurisë së informacionit gjatë punës së mirëmbajtjes dhe riparimit;
10. garantimi i sigurisë së informacionit në situata emergjente.

Të drejtat e përdoruesve për qasje në programe dhe të dhëna përshkruhen me tabela, në bazë të të cilave kryhet kontrolli dhe diferencimi i aksesit në burime. Qasja duhet të kontrollohet nga mbrojtja e softuerit. Nëse aksesi i kërkuar nuk përputhet me atë në tabelën e të drejtave të aksesit, sistemi i sigurisë regjistron faktin e ngacmimit dhe fillon përgjigjen e duhur.

Identifikimi dhe vërtetimi i përdoruesit

Përpara se të aksesojë burimet, një përdorues duhet të kalojë një proces prezantimi në një sistem kompjuterik, i cili përfshin dy faza:

• identifikimi- përdoruesi informon sistemin me kërkesën e tij për emrin e tij (identifikuesin);
• vërtetimi- përdoruesi konfirmon identifikimin duke futur në sistem informacione unike për veten e tij që nuk janë të njohura për përdoruesit e tjerë (për shembull, një fjalëkalim).

Për të kryer procedurat për identifikimin dhe vërtetimin e një përdoruesi, është e nevojshme të keni:

• programet e vërtetimit;
• informacion unik për përdoruesit.

Ekzistojnë dy forma të ruajtjes së informacionit rreth përdoruesit: e jashtme (për shembull, një kartë plastike ose koka e përdoruesit) dhe e brendshme (për shembull, një regjistrim në një bazë të dhënash). Natyrisht, informacioni i ruajtur në kokë dhe informacioni në bazën e të dhënave duhet të jenë semantikisht identik. Telashi me vëllain e pangopur të Ali Babës, Kasimin, ka ndodhur pikërisht për shkak të mospërputhjes midis formave të jashtme dhe të brendshme: sim-sim nuk është identik me bizelet, orizin etj.

Merrni parasysh strukturat dhe protokollet e të dhënave për identifikimin dhe vërtetimin e përdoruesit.

Pothuajse çdo bartës kryesor i informacionit i përdorur për identifikim korrespondon me strukturën e mëposhtme të të dhënave të përdoruesit:

• ID i - identifikues i pandryshueshëm i përdoruesit i-të, i cili është një analog i emrit dhe përdoret për të identifikuar përdoruesin;
• K i - informacioni i vërtetimit të përdoruesit, i cili mund të ndryshohet dhe shërben për vërtetim (për shembull, fjalëkalimi P i = K i).

Pra, për media të tilla si kartat plastike, ID e informacionit të pandryshuar dhe një objekt në strukturën e skedarit të kartës që përmban K i janë ndarë.

Informacioni i përgjithshëm në transportuesin kryesor mund të quhet informacioni kryesor i vërtetimit të përdoruesit të i-të. Natyrisht, objekti i brendshëm i vërtetimit nuk duhet të ekzistojë në sistem për një kohë të gjatë (më shumë kohë për një përdorues specifik). Për shembull, keni futur një fjalëkalim që programi i vërtetimit e ka futur në një variabël për krahasim me ato të ruajtura në bazën e të dhënave. Kjo variabël duhet të pastrohet jo më vonë se të përfundoni seancën tuaj. Për ruajtjen afatgjatë, të dhënat në një formë të mbrojtur duhet të përdoren.

Konsideroni dy skema tipike identifikimi dhe vërtetimi.

Skema 1.

Këtu E i = F (ID i, K i), ku "parikthyeshmëria" K i vlerësohet nga një kompleksitet i caktuar i pragut T 0 të zgjidhjes së problemit të rikuperimit të K i nga E i dhe ID i. Përveç kësaj, për një palë K i dhe K j, vlerat përkatëse të E mund të përkojnë. Në këtë drejtim, probabiliteti vërtetim i rremë përdoruesit nuk duhet të jenë më shumë se një vlerë e caktuar pragu P 0. Në praktikë, vendosni T 0 = 10 20 ... 10 30, P 0 = 10 -7 ... 10 -9.

Protokolli i identifikimit dhe vërtetimit (për skemën 1).

1. Është llogaritur vlera E = F (ID, K).

Skema 2 (e modifikuar). Sistemi kompjuterik ruan:

Këtu E i = F (S i, K i), ku S është një vektor i rastësishëm i specifikuar gjatë krijimit të një ID të përdoruesit; F - një funksion që ka vetinë e "pareduktueshmërisë" së vlerës së K i me E i dhe S i.

Protokolli i identifikimit dhe vërtetimit (për skemën 2).

1. Përdoruesi dorëzon ID-në e tij.
2. Nëse ka i = 1 ... n, për të cilën ID = ID i, atëherë identifikimi i përdoruesit ishte i suksesshëm. Përndryshe, përdoruesi nuk lejohet të punojë.
3. Vektori S zgjidhet nga ID-ja e identifikuesit.
4. Moduli i vërtetimit kërkon nga përdoruesi vërtetuesin e tij K.
5. Është llogaritur vlera E = F (S, K).
6. Nëse E = E i, atëherë vërtetimi ishte i suksesshëm. Përndryshe, përdoruesi nuk lejohet të punojë.

Skema e dytë e vërtetimit përdoret në OC UNIX. Emri i përdoruesit (i kërkuar nga Login) përdoret si identifikues dhe fjalëkalimi i përdoruesit (i kërkuar nga Fjalëkalimi) përdoret si vërtetues. Funksioni F është algoritmi i enkriptimit DES. Standardet për identifikimin dhe vërtetimin përmbahen në skedarin Etc / passwd.

Duhet të theksohet se një kërkesë e nevojshme për stabilitetin e skemave të identifikimit dhe vërtetimit për të rikuperuar informacionin K i është një përzgjedhje e rastësishme e barabartë e mundshme e K i nga një grup vlerash të mundshme.

Metoda më e thjeshtë e aplikimit të një fjalëkalimi bazohet në krahasimin e fjalëkalimit të dhënë me vlerën origjinale të ruajtur në memorie. Nëse vlerat përputhen, atëherë fjalëkalimi konsiderohet autentik dhe përdoruesi është legjitim. Fjalëkalimi duhet të jetë i koduar përpara se të dërgohet në një kanal të pasigurt. Nëse një sulmues zbulon disi fjalëkalimin dhe numrin e identifikimit të përdoruesit legjitim, ai do të ketë akses në sistem.

Është më mirë të përcillni ekranin e marrë duke përdorur funksionin e njëanshëm f (P) në vend të formës së hapur të fjalëkalimit P. Ky transformim duhet të sigurojë që fjalëkalimi nuk mund të deshifrohet duke e shfaqur atë. Pra, armiku përballet me një problem numerik të pazgjidhshëm.

Për shembull, një funksion f mund të përcaktohet si ky:

f (P) = E P (ID),
ku P është një fjalëkalim, ID është një identifikues, E P është një procedurë enkriptimi që kryhet duke përdorur një fjalëkalim si çelës.

Në praktikë, fjalëkalimi përbëhet nga disa shkronja. Por fjalëkalimi i shkurtër është i prekshëm ndaj sulmeve me forcë brutale. Për të parandaluar një sulm të tillë, funksioni f përcaktohet ndryshe:

f (P) = E P + K (ID),
ku K është një çelës (tabletë me memorie Toch, çelës USB, etj.)

Procedurat e identifikimit dhe autentifikimit të përdoruesit mund të bazohen jo vetëm në informacionin sekret që zotëron përdoruesi (fjalëkalimi, çelësi sekret, identifikuesi personal, etj.). Kohët e fundit, identifikimi dhe vërtetimi biometrik është bërë gjithnjë e më i përhapur, gjë që bën të mundur identifikimin e sigurt të një përdoruesi të mundshëm duke matur parametrat dhe karakteristikat fiziologjike të një personi dhe karakteristikat e sjelljes së tij.

Përparësitë kryesore metodat biometrike identifikimi dhe vërtetimi:

• shkallë e lartë e besueshmërisë së identifikimit biometrik për shkak të veçantisë së tyre;
• pandashmëria e shenjave biometrike nga një person i aftë;
• vështirësia e falsifikimit të shenjave biometrike.

Më poshtë përdoren si shenja biometrike që mund të përdoren për të identifikuar një përdorues të mundshëm:

• model irisit dhe retinës;
• gjurmë gishtash;
• forma gjeometrike e dorës;
• forma dhe madhësia e fytyrës;
• termogram i fytyrës;
• forma e veshëve;
• veçoritë e zërit;
• karakteristikat biomekanike të një nënshkrimi të shkruar me dorë;
• karakteristikat biomekanike të "shkrimit të tastierës".

Gjatë regjistrimit, përdoruesi duhet të demonstrojë një ose më shumë herë shenjat e tij karakteristike biometrike. Këto atribute (të njohura si origjinale) regjistrohen nga sistemi si një gjurmë auditimi e përdoruesit legjitim. Ky imazh i përdoruesit ruhet në mënyrë elektronike dhe përdoret për të verifikuar identitetin e kujtdo që paraqitet si përdoruesi përkatës legjitim.

Sistemet e identifikimit për modelet e irisit dhe retinës mund të ndahet në dy klasa:

• duke përdorur modelin e irisit të syrit;
• duke përdorur modelin e enëve të gjakut të retinës.

Meqenëse probabiliteti i përsëritjes së këtyre parametrave është 10 -78, këto sisteme janë më të besueshmet nga të gjitha sistemet biometrike. Mjete të tilla përdoren, për shembull, në Shtetet e Bashkuara në zonat e objekteve ushtarake dhe mbrojtëse.

Sistemet e identifikimit të gjurmëve të gishtërinjve janë më të zakonshmet. Një nga arsyet kryesore për adoptimin e gjerë të sistemeve të tilla është disponueshmëria e bazave të të dhënave të mëdha të gjurmëve të gishtërinjve. Përdoruesit kryesorë të sistemeve të tilla në mbarë botën janë policia, agjenci të ndryshme qeveritare dhe disa banka.

Sistemet e identifikimit për formën gjeometrike të dorës përdorni skanerë në formë dore, zakonisht të montuar në mure. Duhet të theksohet se shumica dërrmuese e përdoruesve preferojnë këtë lloj sistemi.

Sistemet e identifikimit të fytyrës dhe zërit janë më të përballueshmet për shkak të kostos së tyre të ulët, pasi shumica e kompjuterëve modernë kanë mjete video dhe audio. Sistemet e kësaj klase përdoren gjerësisht për identifikimin në distancë në rrjetet e telekomunikacionit.

Sistemet e identifikimit të bazuara në dinamikën e nënshkrimit të shkruar me dorë merrni parasysh intensitetin e çdo përpjekjeje të nënshkruesit, karakteristikat e frekuencës së shkrimit të secilit element të nënshkrimit dhe stilin e nënshkrimit në tërësi.

Sistemet e identifikimit të bazuara në karakteristikat biomekanike të "shkrimit të tastierës" bazohen në faktin se momentet e shtypjes dhe lëshimit të tasteve gjatë shtypjes në tastierë ndryshojnë ndjeshëm për përdorues të ndryshëm. Ky ritëm dinamik i shtypjes ("shkrimi i tastierës") lejon ndërtimin e mjeteve mjaftueshëm të besueshme të identifikimit.

Duhet të theksohet se përdorimi i parametrave biometrikë në identifikimin e subjekteve të aksesit të sistemeve të automatizuara nuk ka marrë ende mbështetjen e duhur rregullatore dhe ligjore, veçanërisht në formën e standardeve. Prandaj, përdorimi i sistemeve biometrike të identifikimit lejohet vetëm në sistemet që përpunojnë dhe ruajnë të dhëna personale që përbëjnë sekrete tregtare dhe zyrtare.

Autentifikimi i ndërsjellë i përdoruesit

Në mënyrë tipike, palët që hyjnë në një komunikim kanë nevojë për vërtetim të ndërsjellë. Ky proces kryhet në fillim të një sesioni komunikimi.

Metodat e mëposhtme përdoren për vërtetimin:

• mekanizmi kërkesë-përgjigje;
• mekanizmi i vulës së kohës ("vula kohore").

Mekanizmi kërkesë-përgjigje... Nëse përdoruesi A dëshiron të jetë i sigurt se mesazhet që ai merr nga përdoruesi B nuk janë false, ai përfshin një element të paparashikueshëm në mesazhin e dërguar te B - kërkesa X (për shembull, një numër i rastësishëm). Kur përgjigjet, përdoruesi B duhet të kryejë një operacion të paracaktuar në këtë numër (për shembull, të llogarisë një funksion f (X)). Kjo nuk mund të bëhet paraprakisht, pasi përdoruesi B nuk e di se cili numër i rastësishëm X do të vijë në kërkesë. Duke marrë një përgjigje me rezultatin e veprimeve të B, përdoruesi A mund të jetë i sigurt se B është i vërtetë. Disavantazhi i kësaj metode është aftësia për të vendosur një model midis një kërkese dhe një përgjigje.

Mekanizmi i vulosjes së kohës përfshin regjistrimin e kohës për çdo mesazh. Në këtë rast, çdo përdorues i rrjetit mund të përcaktojë se sa "i vjetëruar" është mesazhi i marrë dhe të mos e pranojë atë, pasi mund të jetë i rremë.

Në të dyja rastet, kriptimi duhet të zbatohet për të siguruar mekanizmin e kontrollit për të siguruar që përgjigja të mos dërgohet nga një sulmues.

Problemi lind kur përdorni vulat kohore vonesa e lejueshme kohore për të konfirmuar vërtetësinë e seancës. Në fund të fundit, një mesazh me një "vulë kohe", në parim, nuk mund të transmetohet në çast. Përveç kësaj, orët kompjuterike të dërguesit dhe marrësit nuk mund të sinkronizohen në mënyrë të përsosur.

Zakonisht përdorni për vërtetim të ndërsjellë procedura e shtrëngimit të duarve, i cili bazohet në mekanizmat e mësipërm dhe konsiston në verifikimin e ndërsjellë të çelësave të përdorur nga palët. Me fjalë të tjera, palët e njohin njëra-tjetrën si ortakë juridikë nëse i vërtetojnë njëra-tjetrës se kanë çelësat e duhur. Procedura e "shtrëngimit të duarve" përdoret në rrjetet kompjuterike kur organizohet komunikimi midis përdoruesve, një përdoruesi dhe një kompjuteri pritës, midis kompjuterëve pritës, etj.

Si shembull, merrni parasysh procedurën e "shtrëngimit të duarve" për dy përdorues A dhe B. Le të përdoret një kriptosistem simetrik. Përdoruesit A ​​dhe B ndajnë të njëjtin çelës privat K AB.

• Përdoruesi A fillon një shtrëngim duarsh duke i dërguar përdoruesit B ID-në e tij A në formë të hapur.
• Përdoruesi B, pasi ka marrë identifikuesin ID A, gjen çelësin sekret K AB në bazën e të dhënave dhe e fut atë në kriptosistemin e tij.
• Ndërkohë, përdoruesi A gjeneron një sekuencë të rastësishme S duke përdorur një gjenerator pseudo-rastësor PG dhe ia dërgon përdoruesit B në formën e një kriptogrami E K AB (S).
• Përdoruesi B deshifron këtë kriptogram dhe zbulon formën origjinale të S.
• Më pas të dy përdoruesit transformojnë sekuencën S duke përdorur funksionin njëkahëshe f.
• Përdoruesi B kodon mesazhin f (S) dhe i dërgon kriptogramin E K AB (f (S)) te përdoruesi A.
• Së fundi, përdoruesi A deshifron këtë kriptogram dhe krahason mesazhin e marrë f "(S) me mesazhin origjinal f (S). Nëse këto mesazhe janë të barabarta, atëherë përdoruesi A njeh identitetin e përdoruesit B.

Përdoruesi A vërteton përdoruesin B në të njëjtën mënyrë. Të dyja këto procedura formojnë një procedurë "shtrëngimi duarsh", e cila zakonisht kryhet në fillim të çdo sesioni komunikimi midis çdo dy palësh në rrjetet kompjuterike.

Avantazhi i modelit të "shtrëngimit të duarve" është se asnjë nga pjesëmarrësit në komunikim nuk merr ndonjë informacion sekret gjatë procedurës së vërtetimit.

Ndonjëherë përdoruesit duan të kenë vërtetim të vazhdueshëm të dërguesit për të gjithë sesionin e komunikimit. Le të hedhim një vështrim në një nga metodat më të thjeshta të vërtetimit të vazhdueshëm.

Për të dërguar mesazhin M, përdoruesi A transmeton një kriptogram E K (ID A, M). Marrësi e deshifron atë dhe e zgjeron çiftin (ID A, M). Nëse ID A e marrë përputhet me atë të ruajtur, marrësi e merr parasysh këtë mesazh.

Në vend të identifikuesve, mund të përdorni fjalëkalime sekrete që janë përgatitur paraprakisht dhe janë të njohura për të dyja palët. Vazhdim: Protokollet e identitetit të transferimit të njohurive zero

Letërsia

1. Romanets Yu.V., Timofeev P.A., Shangin V.F. Mbrojtja e informacionit në sistemet dhe rrjetet kompjuterike. Ed. V.F. Shangin. - Botimi i 2-të, Rev. dhe shtoni. - M.: Radio dhe komunikim, 2001 .-- 376 f.: ill.