Главная | Обратная связь | Поможем написать вашу работу!
МегаЛекции

Основные угрозы информационной безопасности




Роль информации в современном мире

Современный мир характеризуется такой интересной тенденцией, как постоянное повышение роли информации. Как известно, все производственные процессы имеют в своём составе материальную и нематериальную составляющие. Первая – это необходимое для производства оборудование, материалы и энергия в нужной форме (то есть, чем и из чего изготавливается предмет). Вторая составляющая – технология производства (то есть, как он изготавливается). Вспомнив в общих чертах историю развития производительных сил на Земле, каждый читатель увидит, что роль (и, соответственно, стоимость) информационной компоненты в любом производстве с течением времени возрастает.

В последнее столетие появилось много таких отраслей производства, которые почти на 100% состоят из одной информации, например, дизайн, создание программного обеспечения, реклама и другие.

Соответственно, и себестоимость товара складывается из стоимости материала, энергии и рабочей силы с одной стороны и стоимости технологии, с другой. Доля НИОКР в цене товара в наше время может достигать 50% и более, несмотря на то, что материальные затраты индивидуальны для каждой единицы продукции, а затраты на технологию – общие, то есть, раскладываются поровну на всю серию товара. Появился даже принципиально новый вид товара, в котором доля индивидуальных затрат сведена почти до нуля. Это программное обеспечение (ПО), при производстве которого все затраты делаются на создание первого образца, а дальнейшее его тиражирование не стоит ничего.

Столь же ярко демонстрирует повышение роли информации в производственных процессах появление в XX веке такого занятия, как промышленный шпионаж. Не материальные ценности, а чистая информация становится объектом похищения.

В прошлые века человек использовал орудия труда и машины для обработки материальных объектов, а информацию о процессе производства держал в голове. В XX столетии появились машины для обработки информации – компьютеры, роль которых все повышается.

Указанные тенденции однозначно свидетельствуют, что начинающийся XXI век станет информационным веком, в котором материальная составляющая отойдёт на второй план.

Значение защиты

С повышением значимости и ценности информации соответственно растёт и важность её защиты.

С одной стороны, информация стоит денег. Значит утечка или утрата информации повлечёт материальный ущерб. С другой стороны, информация – это управление. Несанкционированное вмешательство в управление может привести к катастрофическим последствиям в объекте управления – производстве, транспорте, военном деле. Например, современная военная наука утверждает, что полное лишение средств связи сводит боеспособность армии до нуля.

Защиту информации (ЗИ) в рамках настоящего курса определим так: меры для ограничения доступа к информации для каких-либо лиц (категорий лиц), а также для удостоверения подлинности и неизменности информации.

Вторая задача может показаться слабо связанной с первой, но на самом деле это не так. В первом случае владелец информации стремится воспрепятствовать несанкционированному доступу к ней, а во втором случае – несанкционированному изменению, в то время как доступ для чтения разрешён. Как мы позже увидим, решаются эти задачи одними и теми же средствами.

Аспекты защиты

Во-первых, хорошая защита информации обходится дорого. Плохая же защита никому не нужна, ибо наличие в ней лишь одной "дырки" означает полную бесполезность всей защиты в целом (принцип сплошной защиты). Поэтому прежде чем решать вопрос о защите информации, следует определить, стоит ли она того. Способен ли возможный ущерб от разглашения или потери информации превысить затраты на её защиту? С этой же целью надо максимально сузить круг защищаемой информации, чтобы не тратить лишних денег и времени.

Во-вторых, прежде чем защищать информацию, нелишне определить перечень вероятных угроз, поскольку от всего на свете вы всё равно не защититесь. Возможен вариант, когда вам надо обезопасить данные от несанкционированного доступа извне, например, из Интернета. Возможно, однако, что чужих хакеров ваши данные вовсе не интересуют, и вам следует защищать информацию только от собственных сотрудников. Возможно также, что похищение или разглашение вашей информации никому не навредит, но вот её подмена может нанести вам урон. Во всех трёх случаях методы защиты будут сильно различаться.

В-третьих, при планировании схемы ЗИ большое значение имеет не только её объективная надёжность, но и отношение к защите других людей. В некоторых случаях достаточно, чтобы вы сами были уверены в достаточной надёжности защиты. А в других – это нужно доказать иным людям (например, заказчикам), часто не разбирающимся в соответствующих вопросах. Здесь встаёт вопрос сертификации, о котором мы поговорим позже.

Анализ схем защиты

Все вышеуказанные аспекты анализируются до начала мероприятий по ЗИ. В противном случае вы рискуете впустую затратить силы и средства. В разделе 7 будет дана подробная схема, по которой проводится анализ планируемой схемы ЗИ.

Заметим, что в большинстве практических случаев, с которыми автору пришлось иметь дело, такой анализ показывал, что защита или не требуется вовсе, или нужны лишь чисто номинальные, "показушные" мероприятия.

 

Электронная цифровая подпись (ЭЦП) - это блок информации, который добавляется к файлу данных автором (подписантом) и защищает файл от несанкционированной модификации, а также указывает на подписанта (владельца подписи).

Для функционирования ЭЦП используются 2 ключа защиты (которые сохраняются в разных файлах):

 Секретный ключ, который хранится у подписанта (например, на дискете, устройстве Touch Memory, Smart-карте и т.п.)

 Открытый ключ, который, как правило, публикуется в общедоступном или специализированном справочнике.

Для наложения ЭЦП используется секретный (личный) ключ, а для ее проверки - открытый (общеизвестный) ключ.

Алгоритм работы системы построен таким образом, что имея доступ к открытому ключу невозможно восстановить секретный ключ или поставить цифровую подпись - ее можно только проверить.

Целесообразно сказать, что секретный (личный) ключ подписанта является полной личной собственностью подписанта и не передается каким-либо другим лицам (даже центру сертификации ключей). Кто угодно может проверить цифровую подпись, используя только открытый ключ.

Наложение электронной цифровой подписи (подписание) - это операция, которая осуществляется отправителем (подписантом) документа с использованием его секретного ключа. При выполнении этой операции на вход соответствующей программы подаются данные, которые необходимо подписать, и секретный ключ подписанта. Программа создает из данных с помощью секретного ключа уникальный блок данных фиксированного размера (собственно ЭЦП), который может быть действительным только для этого секретного ключа и именно для этих входных данных. То есть, ЭЦП - это своего рода "цифровой отпечаток секретного ключа и документа".

В дальнейшем ЭЦП, как правило, добавляется к исходному документу (или размещается в отдельном поле документа) и такая комбинация данных (документ + ЭЦП) создает защищенный электронный документ.

Проверка электронной цифровой подписи - это операция, которая выполняется получателем защищенного электронного документа с использованием открытого ключа подписанта (отправителя). Для выполнения этой операции необходимо получить открытый ключ отправителя (например, из справочника) и защищенного документа (то есть данных документа и данных ЭЦП). Соответствующий программный модуль проверяет, действительно ли цифровая подпись соответствует документу и открытому ключу. Если в документ или в открытый ключ внесены какие-то изменения, проверка закончится с негативным результатом.

Для полноценного функционирования систем ЭЦП необходимо обеспечить доступ получателя к достоверной копии открытого ключа отправителя (подписанта) и возможность проверить, что эта копия открытого ключа принадлежит именно этому подписанту. Для выполнения этого создаются специальные защищенные справочники ключей, которые ведутся специальными учреждениями - центрами сертификации ключей.

Центры сертификации ключей проверяют данные владельца открытого ключа и выдают защищенные электронные документы специального образца - сертификаты открытых ключей, в которых содержится открытый ключ и проверенная центром сертификации информация о владельце ключа. Сертификат открытого ключа подписывается электронной цифровой подписью центра сертификации ключей. Таким образом, достаточно получить по достоверным каналам лишь один электронный документ - сертификат самого центра сертификации ключей, чтоб иметь возможность проверить достоверность любого сертификата, который выдан этим центром сертификации ключей.

Генерация секретного и открытого ключей ЭЦП - начальная процедура, которая выполняется пользователем до выполнения процедуры сертификации открытого ключа. Генерацию выполняет специализированное программное обеспечение - генератор ключей, который предоставляется центром сертификации ключей.

Для выполнения сертификации открытого ключа в центр сертификации передается:

 Электронный документ специального образца - заявка на сертификацию открытого ключа, которая содержит открытый ключ и электронную карточку с реквизитами владельца ключа. Заявка генерируется специальной программой - генератором ключей.

 Комплект документов, которые удостоверяют личность владельца ключа (для должностных ключей юридических лиц дополнительно подаются документы, которые удостоверяют правомочность владельца ключа действовать от имени юридического лица).

Правила сертификации - документ, в котором описаны индивидуальные для каждого центра сертификации правила, по которым проверяются сведения, которые находятся в сертификате. То есть, не все центры сертификации ключей действуют по одинаковым правилам и требованиям при проверке документов, которые устанавливают личность владельца ключа (эти правила также называются "политикой сертификации").

Количество проверок и их тщательность может быть разной в разных центрах сертификации ключей. Значительное количество центров сертификации используют несколько политик сертификации одновременно, то есть издают сертификаты разных уровней доверия (эти уровни доверия иногда называются "классами сертификатов"). Существование разных классов сертификатов обусловлено разницей в их стоимости (больший уровень доверия требует больше проверок, больше проверок - больше работы, больше работы - больше стоимость).

Правила сертификации, которые использует центр сертификации, и класс сертификата, безусловно, непосредственно влияют на уровень доверия к сертификатам ключей, которые выданы такими центрами сертификации.

Это значит, что доверие к сертификату открытого ключа зависит не только от того факта, что открытый ключ сертифицирован, а также от того, кем (каким центром сертификации) сертифицирован и по каким правилам (политика и класс сертификата).

В общем случае политика сертификации и перечень классов сертификатов индивидуальны для каждого центра сертификации. Для стандартизации в этой сфере во многих странах (в том числе в Украине) вводится регулируемое законодательством понятие "Усиленный сертификат ключа" - то есть сертификат, выданный с выполнением определенных стандартизированных и утверждённых законом требований и правил (в том числе - правил проведения процедуры удостоверения личности владельца ключа). Для того чтобы иметь право выдавать сертификаты такого образца, центры сертификации должны пройти процедуру аккредитации (удостоверения соответствия требованиям законодательства).
Аккредитованный центр сертификации имеет право издавать усиленные сертификаты ключей. Перечень аккредитованных центров сертификации ведется Центральным удостоверяющим органом.

Основные угрозы информационной безопасности

Современная информационная система представляет собой сложную систему, состоящую из большого числа компонентов различной степени автономности, которые связаны между собой и обмениваются данными. Практически каждый компонент может подвергнуться внешнему воздействию или выйти из строя. Компоненты автоматизированной информационной системы можно разбить на следующие группы:

  • аппаратные средства - компьютеры и их составные части (процессоры, мониторы, терминалы, периферийные устройства - дисководы, принтеры, контроллеры, кабели, линии связи и т.д.);
  • программное обеспечение - приобретенные программы, исходные, объектные, загрузочные модули; операционные системы и системные программы (компиляторы, компоновщики и др.), утилиты, диагностические программы и т.д.;
  • данные - хранимые временно и постоянно, на магнитных носителях, печатные, архивы, системные журналы и т.д.;
  • персонал - обслуживающий персонал и пользователи.

Опасные воздействия на компьютерную информационную систему можно подразделить на случайные и преднамеренные. Анализ опыта проектирования, изготовления и эксплуатации информационных систем показывает, что информация подвергается различным случайным воздействиям на всех этапах цикла жизни системы. Причинами случайных воздействий при эксплуатации могут быть:

  • аварийные ситуации из-за стихийных бедствий и отключений электропитания;
  • отказы и сбои аппаратуры;
  • ошибки в программном обеспечении;
  • ошибки в работе персонала;
  • помехи в линиях связи из-за воздействий внешней среды.

Преднамеренные воздействия - это целенаправленные действия нарушителя. В качестве нарушителя могут выступать служащий, посетитель, конкурент, наемник. Действия нарушителя могут быть обусловлены разными мотивами:

  • недовольством служащего своей карьерой;
  • взяткой;
  • любопытством;
  • конкурентной борьбой;
  • стремлением самоутвердиться любой ценой.

Можно составить гипотетическую модель потенциального нарушителя:

  • квалификация нарушителя на уровне разработчика данной системы;
  • нарушителем может быть как постороннее лицо, так и законный пользователь системы;
  • нарушителю известна информация о принципах работы системы;
  • нарушитель выбирает наиболее слабое звено в защите.

Наиболее распространенным и многообразным видом компьютерных нарушений является несанкционированный доступ (НСД). НСД использует любую ошибку в системе защиты и возможен при нерациональном выборе средств защиты, их некорректной установке и настройке.

Проведем классификацию каналов НСД, по которым можно осуществить хищение, изменение или уничтожение информации:

· Через человека:

o хищение носителей информации;

o чтение информации с экрана или клавиатуры;

o чтение информации из распечатки.

· Через программу:

o перехват паролей;

o дешифровка зашифрованной информации;

o копирование информации с носителя.

· Через аппаратуру:

o подключение специально разработанных аппаратных средств, обеспечивающих доступ к информации;

o перехват побочных электромагнитных излучений от аппаратуры, линий связи, сетей электропитания и т.д.

Особо следует остановиться на угрозах, которым могут подвергаться компьютерные сети. Основная особенность любой компьютерной сети состоит в том, что ее компоненты распределены в пространстве. Связь между узлами сети осуществляется физически с помощью сетевых линий и программно с помощью механизма сообщений. При этом управляющие сообщения и данные, пересылаемые между узлами сети, передаются в виде пакетов обмена. Компьютерные сети характерны тем, что против них предпринимают так называемые удаленные атаки. Нарушитель может находиться за тысячи километров от атакуемого объекта, при этом нападению может подвергаться не только конкретный компьютер, но и информация, передающаяся по сетевым каналам связи.

Поделиться:





Воспользуйтесь поиском по сайту:



©2015 - 2024 megalektsii.ru Все авторские права принадлежат авторам лекционных материалов. Обратная связь с нами...