Предмет и задачи программных и программноаппаратных средств защиты информации
 Скачать 0.79 Mb.
|
|
Способы защиты видео- и буквенно-цифровой информации Размещение устройств вывода информации -средств вычислительной техники, -информационно-вычислительных комплексов, -технических средств обработки графической, видео- и буквенноцифровой информации, входящих в состав информационной системы, в помещениях, в которых они установлены, осуществляется таким образом, чтобы была исключена возможность просмотра посторонними лицами текстовой и графической видовой информации, содержащей персональные данные. 14. / Особенности защиты данных от изменения Массивы данных не несут на себе никаких отпечатков, по которым можно было бы судить об их прошлом - о том, кто является автором, о времени создания, о фактах, времени и авторах вносимых изменений. Модификация информационного массива не оставляет осязаемых следов на нем и не может быть обнаружена обычными методами. «Следы модификации» в той или иной форме могут присутствовать только на материальных носителях информации - так, специальная экспертиза вполне способна установить, что сектор X на некоей дискете был записан позже всех остальных секторов с данными на этой же дорожке дискеты, и эта запись производилась на другом дисководе. Указанный факт, будучи установленным, может, например, означать, что в данные, хранимые на дискете, были внесены изменения. Но после того, как эти данные будут переписаны на другой носитель, их копии уже не будут содержать никаких следов модификации. Реальные компьютерные данные за время своей жизни многократно меняют физическую основу представления и постоянно кочуют с носителя на носитель, в силу чего их не обнаружимое искажение не представляет серьезных проблем. Поскольку создание и использование информационных массивов практически всегда разделены во времени и/или в пространстве, у потребителя всегда могут возникнуть обоснованные сомнения в том, что полученный им массив данных создан нужным источником и притом в точности таким, каким он дошел до него. Таким образом, в системах обработки информации помимо обеспечения ее секретности важно гарантировать следующие свойства для каждого обрабатываемого массива данных: подлинность - он пришел к потребителю именно таким, каким был создан источником и не претерпел на своем жизненном пути несанкционированных изменений; авторство - он был создан именно тем источником, каким предполагает потребитель. Обеспечение системой обработки этих двух качеств массивов информации и составляет задачу их аутентификации, а соответствующая способность системы обеспечить надежную аутентификацию данных называется ее аутентичностью. 1. Задача аутентификации данных. На первый взгляд может показаться, что данная задача решается простым шифрованием. Действительно, если массив данных зашифрован с использованием стойкого шифра, такого, например, как ГОСТ 28147-89, то для него практически всегда будет справедливо следующее: в него трудно внести изменения осмысленным образом, поскольку со степенью вероятности, незначительно отличающейся от единицы, факты модификации зашифрованных массивов данных становятся очевидными после их расшифрования - эта очевидность выражается в том, что такие данные перестают быть корректными для их интерпретатора: вместо текста на русском языке появляется белиберда, архиваторы сообщают, что целостность архива нарушена и т.д.; только обладающие секретным ключом шифрования пользователи системы могут изготовить зашифрованное сообщение, таким образом, если к получателю приходит сообщение, зашифрованное на его секретном ключе, он может быть уверенным в его авторстве, так как кроме него самого только законный отправитель мог изготовить это сообщение. Тем не менее, использование шифрования в системах обработки данных само по себе неспособно обеспечить их аутентичности по следующим причинам: 1. Изменения, внесенные в зашифрованные данные, становятся очевидными после расшифрования только в случае большой избыточности исходных данных. Эта избыточность имеет место, например, если массив информации является текстом на каком-либо человеческом языке. Однако в общем случае это требование может не выполняться - если случайная модификация данных не делает их недопустимым для интерпретации со сколько-нибудь значительной долей вероятности, то шифрование массива не обеспечивает его подлинности. Говоря языком криптологии, аутентичность и секретность суть различные свойства криптосистем. Или, более просто: свойства систем обработки информации обеспечивать секретность и подлинность обрабатываемых данных в общем случае могут не совпадать. 2. Факт успешного (в смысле предыдущего пункта) расшифрования зашифрованных на секретном ключе данных может подтвердить их авторство только в глазах самого получателя. Третья сторона не сможет сделать на основании этого однозначного вывода об авторстве массива информации, так как его автором может быть любой из обладателей секретного ключа, а их как минимум два - отправитель и получатель. Поэтому в данном случае споры об авторстве сообщения не могут быть разрешены независимым арбитражем. Это важно для тех систем, где между участниками нет взаимного доверия, что весьма характерно для банковских систем, связанных с управлением значительными ценностями. Таким образом, существование проблемы подтверждения подлинности и авторства массивов данных, отдельной от задачи обеспечения их секретности, не вызывает сомнения. 15. / Способы и методы шифрования информации Криптография — наука, которая изучает методы обеспечения конфиденциальности, безопасности и аутентичности информации. Простыми словами: это наука, изучающая методы, при помощи которых можно преобразовать информацию таким образом, чтобы при ее хищении она становилась бесполезной для злоумышленников. Поэтому можно определить, что криптография изучает два важных вопроса: вопрос конфиденциальности информации; вопрос целостности информации. Задачи, решаемые криптографией, которые связаны с целостностью и конфиденциальностью информации, очень похожи между собой. Поэтому методы решения этих задач применимы в обоих случаях. Методы криптографической защиты информации Криптографические методы защиты информации делятся на 4 основных направления: шифрование; стенография; кодирование; сжатие. Шифрование Под шифрованием понимается процесс воздействия на исходную информацию при помощи математических, логических, комбинаторных и прочих методов. При таком воздействии исходная информация преобразуется в набор хаотических символов (букв, цифр и специальных символов). Шифрование является обратимым процессом, то есть зашифрованную информацию можно обратно расшифровать. Для шифрования свойственны два инструмента: алгоритм шифрования; ключ шифрования. Алгоритм шифрования для каждого отдельного метода шифрования остается неизменным, поэтому не является первостепенным инструментом. Ключ шифрования содержит в себе набор правил и инструкций, по которым осуществляется процесс шифрования информации. Ключ является важным инструментом, который может быть использован при расшифровке информации. Поэтому ключ шифрования необходимо тщательно защищать от перехвата злоумышленниками. Если ключ шифрования попадет в руки злоумышленникам, тогда информация будет расшифрована. Иногда в момент передачи зашифрованного текста по сети между устройствами передается и ключ шифрования. Его обязательно передают только в зашифрованном виде, чтобы при его «перехвате» хакеры не смогли расшифровать сам ключ и получить доступ к информации. Шифрование информации очень распространено при работе на компьютерах, потому что отвечает основным требованиям безопасности: обладает стойкостью к криптоанализу и подбору ключей; обеспечивает высокий уровень конфиденциальности ключа, без которого невозможно расшифровать информацию; зашифрованная информация не сильно увеличивается в размерах; исключено искажение информации при ее расшифровке; алгоритмы шифрования и расшифровки не требуют много времени на сам процесс. Стенография Стенография сильно отличается от других криптографических методов защиты информации. Этот метод позволяет скрывать не только информацию, но и сам факт того, что какая-то информация была скрыта и передана. Стенография разнообразна своими методами, но в основе всех методов лежит один принцип: скрыть защищаемую информацию среди открытой информации. Другими словами, стенография создает реалистичную информацию, которая ничем не отличается от настоящей и внутри нее скрывает защищаемые сведения. Стенография маскирует информацию на уровне байтов. Например, если правильно подобрать алгоритм преобразования информации в изображение, тогда в определенных байтах изображения можно скрыть биты секретного файла. Человеческий глаз неспособен различить такие «преобразования» на изображении. При помощи стенографии могут маскировать: текстовые файлы изображения аудио цифровую подпись и др. Для усиления эффекта защищенности скрытые файлы иногда шифруют. Таким образом, если скрытый файл будет обнаружен, он все равно будет бесполезен, так как без ключа для расшифровки его невозможно будет прочитать. Тандем «стенография + шифрование» считается очень надежным методом криптографической защиты информации. Кодирование Этот криптографический метод защиты информации известен очень давно. Суть его сводится к тому, что исходные сведения «подменяют» специальными кодами. В качестве таких кодов используют сочетание букв, символов или цифр. Для удобства кодирования и раскодирования применяют специальные таблицы, где записаны правила кодирования, то есть какой символ на что заменяется. Неопытные пользователи часто путают кодирование и шифрование. Это неправильно, потому что это два разных подхода к защите информации. Чтобы раскодировать информацию, необходимо знать или выяснить инструкции, по которым происходит подмена символов. А чтобы расшифровать информацию, необходимо знать инструкции подмены (алгоритм шифрования) и ключ к расшифровке, что усложняет процесс расшифровки и улучшает безопасность информации. Сжатие Сжатие относят к криптографическим методам защиты информации, хотя оно используется всего лишь для уменьшения объема самой информации. Сжатая информация не может быть прочитана или применяться, пока не будет осуществлен обратный процесс. Но «обратный процесс» является распространенным и доступным способом обработки сжатой информации. Поэтому сжатие — это больше о сокращении объема сведений, чем о их защите. Если представить, что вы разработали собственный алгоритм сжатия, спустя время данный алгоритм станет доступным общественности и ваши сжатые «конфиденциальные» файлы станут неконфиденциальными. Сегодня существуют различные методы обработки сжатой информации, которым подвластны даже «уникальные» алгоритмы сжатия. Поэтому если говорить о безопасности информации, то сжатие часто применяют в паре с шифрованием. С основными методами шифрования мы познакомились, но где они применяются в повседневной жизни? Или какие задачи, решаемые криптографией, человек применяет в своей жизнедеятельности? Задачи, решаемые криптографией Задачи, решаемые криптографией, связаны с безопасной передачей информации между людьми. Криптография как наука зародилась несколько тысячелетий назад. Ее актуальность сегодня ничуть не угасает, а даже наоборот. С ростом объема информации, передаваемой по сети, и с ростом количества участников сети проблема безопасности передаваемых сведений вышла на первое место. Всеми этими проблемами как раз и занимается криптография. Наукой, «обратной» криптографии, является криптоанализ. Криптоанализ — это наука, занимающаяся поиском методов расшифровки информации, которая была защищена криптографическими методами. Когда криптография и криптоанализ «трудятся» в одном направлении, тогда эти две науки объединяют в одну — криптологию, которая как раз и занимается комплексным усовершенствованием и проверкой методов безопасности передаваемой информации. О криптологии как об отдельной науке говорят в «узких» кругах. Поэтому пользователи «науку о безопасности» называют просто криптографией, не разделяя криптологию, криптоанализ и криптографию друг от друга. Мы на стороне пользователей. Задачи, решаемые криптографией: Достижение высокой конфиденциальности сведений. Это направление предотвращает несанкционированный доступ к информации, применяя передовые методы шифрования, которые невозможно «взломать». Достижение надежной целостности сведений. Решение этой задачи гарантирует, что в процессе передачи информации между пользователями или устройствами информация не видоизменялась. То есть никто не мог модифицировать передаваемую информацию в момент ее передачи: что-то удалить, подменить, вставить и др. Аутентификация пользователей. Решение этой задачи гарантирует качественную проверку подлинности пользователей, желающих воспользоваться каким-то веб-ресурсом или какой-то программой от своего лица. Электронная подпись и электронные договоры. Эта задача решает проблему отказа пользователей от совершенных ими действий в сети. Если пользователем в сети был подписан электронный договор при помощи цифровой подписи, тогда это действие приравнивается к подписанию обычного договора обычной подписью. Отказаться от цифровой подписи невозможно. Все эти задачи, решаемые криптографией в сетевом быту, выглядят очень просто: аутентификация в соцсетях и прочих веб-ресурсах; общение в мессенджерах, применяющих сквозное шифрование; оплата в интернет-магазинах при помощи банковских карт; безопасная передача данных между веб-ресурсами или между «клиентом» и сервером; хранение информации в собственном компьютере или в облачных хранилищах; покупка/продажа криптовалюты; собственная цифровая подпись; и другое. Заключение Задачи, решаемые криптографией, используются везде, где есть интернет, информация и необходимость передать эту информацию. Криптография — это древняя наука, однако максимальную популярность она стала набирать в наше время. Проблемы с безопасностью в сети есть, и они обширны, поэтому криптографии как науке есть куда развиваться. Например, ежегодно от рук хакеров страдают тысячи веб-ресурсов и компаний, которые теряют сотни миллионов долларов из-за брешей в безопасности. Криптография развивается, но вместе с ней развиваются и алгоритмы обхода методов ее защиты. Эта «борьба» будет продолжаться постоянно. |