ÔÅÄÅÐÀËÜÍÎÅÀÃÅÍÑÒÂÎ ÏÎÎÁÐÀÇÎÂÀÍÈÞ
Ãîñóäàðñòâåííîåîáðàçîâàòåëüíîåó÷ðåæäåíèå
âûñøåãîïðîôåññèîíàëüíîãîîáðàçîâàíèÿ
ÐÎÑÑÈÉÑÊÈÉÃÎÑÓÄÀÐÑÒÂÅÍÍÛÉÃÓÌÀÍÈÒÀÐÍÛÉÓÍÈÂÅÐÑÈÒÅÒ
ÈÍÑÒÈÒÓÒÈÍÔÎÐÌÀÖÈÎÍÍÛÕÍÀÓÊ ÈÒÅÕÍÎËÎÃÈÉÁÅÇÎÏÀÑÍÎÑÒÈ
Êàôåäðàîáùåéèíôîðìàòèêè
ТЕРЕХИНА ОКСАНА МИХАЙЛОВНА
ÊÎÍÒÐÎËÜÍÀßÐÀÁÎÒÀ ÏÎÄÈÑÖÈÏËÈÍÅ
«ÈÍÔÎÐÌÀÖÈÎÍÍАЯ БЕЗОПАСНОСТЬ»
ИНФОРМАЦИОННАЯВОЙНА И
ИНФОРМАЦИОННАЯБЕЗОПАСНОСТЬ
ÝÊÑÒÅÐÍÀ2 ÃÎÄÀÎÁÓ×ÅÍÈß (4-Õ ËÅÒÍÅÃÎÑÐÎÊÀÎÁÓ×ÅÍÈß)
ÃÐÓÏÏÀ Á(èíôîðìàöèîííàÿñôåðà)
Íàó÷íûéðóêîâîäèòåëü
ïðåïîäàâàòåëü
Корякин
Ìîñêâà
2005
ПЛАН
ВВЕДЕНИЕ 3
1. Информационнаябезопасность человека и общества 4
2.Технические средства охраны объектов и защиты от утечки информации 6 2.1.Противодействие наблюдению в оптическом диапазоне 7
2.2.Противодействие подслушиванию 8
2.3. Защита отэлектромагнитных наводок 12
3. Традиционные методызащиты информации 15
3.1.Идентификация и аутентификация 16
3.2. Защитапаролями 17
3.3. Электроннаяподпись 20
3.4.Криптографическая защита информации 20
ЗАКЛЮЧЕНИЕ 23
СПИСОК ЛИТЕРАТУРЫ 24
ВВЕДЕНИЕ
Изменения,происходящие в экономической жизни России – создание финансово-кредитнойсистемы, предприятий различных форм собственности и т.п. — оказываютсущественное влияние на вопросы защиты информации. Долгое время в нашей странесуществовала только одна собственность – государственная, поэтому информация исекреты были тоже только государственные, которые охранялись мощнымиспецслужбами.
Проблемы информационной безопасностипостоянно усугубляется процессами проникновения практически во все сферыдеятельности общества технических средств обработки и передачи данных и, преждевсего, вычислительных систем. Объектами посягательств могут быть самитехнические средства (компьютеры и периферия) как материальные объекты,программное обеспечение и базы данных, для которых технические средстваявляются окружением.
Каждый сбой работыкомпьютерной сети это не только «моральный» ущерб для работников предприятия исетевых администраторов. По мере развития технологий электронных платежей,серьезный сбой парализует работу целых корпораций и банков, что приводит кощутимым материальным потерям. Не случайно, что защита данных в компьютерныхсетях стала проблемой в современной информатике.
Следует также отметить, чтоотдельные сферы деятельности (банковские и финансовые институты, информационныесети, системы государственного управления, оборонные и спецслужбы, имеющиеотношения к государственной тайне) требуют специальных мер безопасности данныхи предъявляют повышенные требования к надежности функционированияинформационных систем, в соответствии с характером и важностью решаемых имизадач.
В данной работе рассмотреныосновные аспекты информационной безопасности, а также технические средства иметоды защиты информации от несанкционированного доступа, в том числе сиспользованием криптографии.
1. Информационная безопасность человека и общества
До недавнего времени в Уголовномкодексе РФ не существовало статей, связанных с компьютерными преступлениями. Ксчастью, сейчас положение изменилось.Запоследние несколько лет многие законы, регулирующие IT-область,были пересмотрены, дополнены и отредактированы в свете современного состоянияинформатизации в России.
Сегодня большое количествосведений, составляющих государственную тайну, также хранятся и передаютсясредствами ВТ. Закон РФ «О государственной тайне» дает следующую трактовкуэтого понятия: «Государственная тайна – защищаемые государством сведения вобласти его военной, внешнеполитической, экономической, разведывательной,контрразведывательной и оперативно-розыскной деятельности, распространениекоторых может нанести ущерб безопасности Российской Федерации». Также этотзакон раскрывает некоторые понятия, с ним связанные, например:
– носители сведений, составляющихгосударственную тайну, – материальные объекты, в том числе физические поля, вкоторых сведения, составляющие государственную тайну, находят свое отображениев виде символов, образов, сигналов, технических решений и процессов;
– система защиты государственнойтайны – совокупность органов защиты государственной тайны, используемых имисредств и методов защиты сведений, составляющих государственную тайну, и ихносителей, а также мероприятий, проводимых в этих целях;
– допуск к государственной тайне –процедура оформления права граждан на доступ к сведениям, составляющимгосударственную тайну, а предприятий, учреждений и организаций – на проведениеработ с использованием таких сведений;
– доступ к сведениям, составляющимгосударственную тайну, – санкционированное полномочным должностным лицомознакомление конкретного лица со сведениями, составляющими государственнуютайну;
– средства защиты информации — технические, криптографические, программные и другие средства, предназначенныедля защиты сведений, составляющих государственную тайну, средства, в которыхони реализованы, а также средства контроля эффективности защиты информации.
В России существуют и различныенормативные документы, регулирующие отношения в области информации: «Об участииРоссии в международном информационном обмене» (Федеральный закон от 4 июля 1996г. № 85-ФЗ), «Об основах государственной политики в сфере информатизации» (УказПрезидента РФ от 20 января 1994 г. № 170), Федеральный закон от 10 января 2002г. № 1-ФЗ «Об электронной цифровой подписи», Указ Президента РФ от 12 мая 1993г. № 663 «О мерах по созданию единого эталонного банка данных правовойинформации», «Доктрина информационной безопасности Российской Федерации» (от 9сентября 2000 г. № ПР-1895) и многие другие.
Угрозы информационной безопасностиусловно можно разделить на две большие группы: случайные и преднамеренные.
К случайным угрозам относятся:стихийные бедствия и аварии, сбои и отказы технических средств, ошибки приразработке компьютерной системы, алгоритмические и программные ошибки, ошибкипользователей и обслуживающего персонала.
Класс преднамеренных угроз оченьдинамичен и постоянно пополняется. Угрозы этого класса в соответствии с ихсущностью и реализацией могут быть распределены по пяти группам: традиционныйили универсальный шпионаж и диверсии; несанкционированный доступ к информации;электромагнитные излучения и наводки; модификация структур КС; вредительскиепрограммы.
2.Технические средства охраны объектов и защиты от утечки информации
Утечка информации в компьютерныхсистемах может быть допущена как случайно, так и преднамеренно, сиспользованием технических средств съема информации.
Средства противодействию случайнойутечки информации, причиной которой может быть программно-аппаратный сбой иличеловеческий фактор, могут быть разделены на следующие основные функциональныегруппы: дублирование информации, повышение надёжности компьютерных систем,создание отказоустойчивых компьютерных систем, оптимизация взаимодействиячеловека и компьютерной системы, минимизация ущерба от аварий и стихийныхбедствий (в том числе, за счет создания распределённых компьютерных систем),блокировка ошибочных операций пользователей.
Наибольший интерес представляетпреднамеренный съём информации, также известный как промышленный (технический)шпионаж, а также методы защиты от него.
Ïðèçàùèòåèíôîðìàöèèâ компьютерныхсистемах (ÊÑ) îòòðàäèöèîííîãîøïèîíàæà èäèâåðñèé èñïîëüçóþòñÿòå æåñðåäñòâà èìåòîäû çàùèòû,÷òî è äëÿçàùèòûäðóãèõîáúåêòîâ, íàêîòîðûõ íåèñïîëüçóþòñÿÊÑ. Äëÿçàùèòûîáúåêòîâ ÊÑîò óãðîçäàííîãî êëàññàäîëæíû áûòüðåøåíûñëåäóþùèåçàäà÷è:
¨ ñîçäàíèåñèñòåìûîõðàíûîáúåêòà;
¨ îðãàíèçàöèÿðàáîò ñêîíôèäåíöèàëüíûìèèíôîðìàöèîííûìèðåñóðñàìèíà îáúåêòå ÊÑ;
¨ ïðîòèâîäåéñòâèåíàáëþäåíèþ;
¨ ïðîòèâîäåéñòâèåïîäñëóøèâàíèþ;
¨ çàùèòàîòçëîóìûøëåííûõäåéñòâèéïåðñîíàëà.
Îáúåêò, íàêîòîðîìïðîèçâîäÿòñÿðàáîòû ñ öåííîéêîíôèäåíöèàëüíîéèíôîðìàöèåé,èìååò, êàêïðàâèëî,íåñêîëüêîðóáåæåéçàùèòû:
1) êîíòðîëèðóåìàÿòåððèòîðèÿ;
2) çäàíèå;
3) ïîìåùåíèå;
4) óñòðîéñòâî,íîñèòåëüèíôîðìàöèè;
5) ïðîãðàììà;
6) èíôîðìàöèîííûåðåñóðñû.
Îòøïèîíàæà èäèâåðñèéíåîáõîäèìîçàùèùàòüïåðâûå÷åòûðåðóáåæà èîáñëóæèâàþùèéïåðñîíàë.
Ñèñòåìàîõðàíûîáúåêòà (ÑÎÎ)ÊÑ ñîçäàåòñÿñ öåëüþïðåäîòâðàùåíèÿíåñàíêöèîíèðîâàííîãîïðîíèêíîâåíèÿíàòåððèòîðèþ èâ ïîìåùåíèÿîáúåêòàïîñòîðîííèõëèö,îáñëóæèâàþùåãîïåðñîíàëà è ïîëüçîâàòåëåé.
Ñîñòàâñèñòåìûîõðàíûçàâèñèò îòîõðàíÿåìîãîîáúåêòà. Âîáùåìñëó÷àå ÑÎÎÊÑ äîëæíàâêëþ÷àòüñëåäóþùèåêîìïîíåíòû:
¨ èíæåíåðíûåêîíñòðóêöèè;
¨ îõðàííàÿñèãíàëèçàöèÿ;
¨ ñðåäñòâàíàáëþäåíèÿ;
¨ ïîäñèñòåìàäîñòóïà íàîáúåêò;
¨ äåæóðíàÿñìåíàîõðàíû./>/>/>/>/>/>/>/>/>/>/> 2.1. Противодействиенаблюдению в оптическом диапазоне
Íàáëþäåíèåâîïòè÷åñêîìäèàïàçîíåçëîóìûøëåííèêîì,íàõîäÿùèìñÿçà ïðåäåëàìèîáúåêòà ÈÑ,ìàëîýôôåêòèâíî.Ñðàññòîÿíèÿ 50ìåòðîâ äàæåñîâåðøåííûìäëèííîôîêóñíûìôîòîàïïàðàòîìíåâîçìîæíîïðî÷èòàòüòåêñò ñäîêóìåíòàèëè ìîíèòîðà.Òàêòåëåîáúåêòèâñ ôîêóñíûìðàññòîÿíèåì300 ììîáåñïå÷èâàåòðàçðåøàþùóþñïîñîáíîñòüëèøü 15x15 ìì.Êðîìå òîãî,óãðîçûòàêîãî òèïàëåãêî ïàðèðóþòñÿñ ïîìîùüþ:
¨ использования оконных стекол с односторонней проводимостью света;
¨ применения штор и защитного окрашивания стекол;
¨ размещения рабочих столов, мониторов, табло и плакатов таким образом,чтобы они не просматривались через окна или открытые двери.
Äëÿïðîòèâîäåéñòâèÿíàáëþäåíèþâ îïòè÷åñêîìäèàïàçîíåçëîóìûøëåííèêîì,íàõîäÿùèìñÿíà îáúåêòå,íåîáõîäèìî,÷òîáû:
¨ двери помещений были закрытыми;
¨ расположение столов и мониторов ЭВМ исключало возможностьнаблюдения документов или выдаваемой информации на соседнем столе или мониторе;
¨ стенды с конфиденциальной информацией имели шторы.
/>/>/>/>
/>/>/>/>/>/>/>2.2. Противодействие подслушиванию
Методы борьбы сподслушиванием можно разделить на два класса:
1) методызащиты речевой информации при передаче ее по каналам связи;
2) методызащиты от прослушивания акустических сигналов в помещениях.
Речевая èíôîðìàöèÿ, передаваемая по каналам связи, защищается от прослушивания(закрывается) с использованием методов аналогового скремблирования идискретизации речи с последующим шифрованием.
Под ñêðåìáëèðîâàíèåìïîíèìàåòñÿèçìåíåíèåõàðàêòåðèñòèêðå÷åâîãîñèãíàëàòàêèìîáðàçîì, ÷òîïîëó÷åííûéìîäóëèðîâàííûéñèãíàë, îáëàäàÿñâîéñòâàìèíåðàçáîð÷èâîñòèè íåóçíàâàåìîñòè,çàíèìàåòòàêóþ æåïîëîñó ÷àñòîòñïåêòðà, êàêè èñõîäíûéîòêðûòûé.
Îáû÷íîàíàëîãîâûåñêðåìáëåðûïðåîáðàçóþòèñõîäíûéðå÷åâîéñèãíàëïóòåì èçìåíåíèÿåãî÷àñòîòíûõ и временных характеристик.
Дискретизацияречевой информации с последующим шифрованием обеспечивает íàèâûñøóþ степень защиты. В процессе дискретизации речеваяинформация представляется в цифровой форме. В таком виде она преобразуется всоответствии с выбранными алгоритмами шифрования, которые применяются дляпреобразования данных в КС. Методы шифрования подробно рассматриваются далее.
Защита àêóñòè÷åñêîé информации в помещениях КС является важным направлениемпротиводействия подслушиванию. Существует несколько методов защиты отпрослушивания акустических сигналов:
¨ звукоизоляция и звукопоглощение акустического сигнала;
¨ зашумление помещений или твердой среды для маскировкиакустических сигналов;
¨ защита от несанкционированной записи речевой информации надиктофон;
¨ обнаружение и изъятие закладных устройств.
Звукоизоляция îáåñïå÷èâàåò локализацию источника звука в замкнутом пространстве.Звукоизоляционные свойства конструкций и элементов помещений оцениваютсявеличиной ослабления акустической волны и выражаются в децибелах. Наиболееслабыми звукоизолирующими свойствами в помещениях обладают двери и окна. Дляусиления звукопоглощения дверей применяются следующие приемы:
¨ устраняются зазоры и щели за счет использованияуплотнителей по периметру дверей;
¨ двери покрываются дополнительными звукопоглощающимиматериалами;
¨ используются двойные двери с покрытием тамбуровзвукопоглощающими материалами.
Çâóêîèçîëÿöèÿ окон повышается следующими способами:
¨ использование штор;
¨ увеличение числа рядов стекол (ширина воздушногопромежутка между стеклами должна быть не менее 200 мм);
¨ применение полиэфирных пленок (затрудняют прослушиваниелазерным методом);
¨ использование специальных оконных блоков с созданиемразрежения в межстекольном пространстве.
Звукопоглощение осуществляется путем преобразования кинетической энергиизвуковой âîëíû втепловую энергию. Звукопоглощающие материалы используются для затрудненияпрослушивания через стены, потолок, воздуховоды вентиляции и кондиционированиявоздуха, кабельные каналы и тому подобные элементы зданий. Звукопоглощающиематериалы могут быть сплошными и пористыми (плиты минераловатные«Акмигран», «Силакпор», «Винипор»;звукопоглощающие облицовки из слоя пористо-волокнистого материала).
Для ïðîâåäåíèÿ особо ответственных переговоров могут использоватьсяспециальные кабины. Они выполняются из прозрачного материала, имеютсравнительно небольшие размеры. В них невозможно скрытно разместитьподслушивающие устройства. За пределы кабины звук практически не проникает, чтополностью исключает прослушивание разговора.
Àêòèâíûì методом защиты являетсязашумление помещений спомощью генераторов акустических сигналов (АД-23, WNG 023, ANG-2000). Зашумлениеможет быть эффективным, если генератор шума находится ближе к подслушивающемуустройству, чем источник полезной акустической информации.
Áîëåå надежным способом защиты акустической информации являетсявибрационное зашумление (генераторы «Барон», «Заслон», «Кабинет», SP-51/A, VNG-012GL, VAG-6/6, «Соната-АВ»).Шумы звукового диапазона создаются пьезокерамическими вибраторами в твердыхтелах, через которые злоумышленник пытается прослушивать помещение. Вибраторыприклеиваются к поверхности зашумляемого ограждения (окна, стены, потолки и т.д.) или твердотельного звукопровода (трубы водоснабжения и отопления). Одинвибратор создает зашумление в радиусе 1,5-5 метров.
Äëÿ предотвращениянесанкционированной записи речевой информации необходимо иметь средстваобнаружения работающего диктофона и средств воздействия на него, в результатекоторого качество записи снижается ниже допустимого уровня.
Íåñàíêöèîíèðîâàííàÿ запись речевой информации осуществляется специальнымидиктофонами двух типов: диктофоны содержащие кинематические узлы(лентопротяжные механизмы, приводы дисков) и диктофоны состоящие только из электронныхсхем. Диктофоны первого типа называют кинематическими, а диктофоны второго типа- цифровыми. В такихдиктофонах снижены демаскирующие признаки: бесшумная работа лентопротяжногомеханизма, отсутствуют генераторы подмагничивания и стирания, используетсяэкранирование корпуса или только магнитных головок и т. п.
Íàèáîëüøóþ информативность имеет низкочастотное пульсирующеемагнитное поле работающего электродвигателя. Слабое поле электродвигателя можетбыть обнаружено на небольшом расстоянии. Например, отечественная система PRTD 018 обнаруживаетдиктофон на расстоянии 1,5 метра от датчика, которых в этой системенасчитывается 16 штук. Малое магнитное поле электродвигателя выделяется за счетизменения в месте расположения работающего диктофона параметров полей,создаваемых другими работающими приборами.
Äåìàñêèðóþùèìè признаками цифровых диктофонов являются излученияимпульсных преобразователей, а также излучения проводников, которые вустройствах с флэш-памятью достигают длины несколько сантиметров. Существуюттакже обнаружители как кинематических, так цифровых диктофонов. Так прибор ST-0110 имеет 4датчика и позволяет обнаруживать кинематические диктофоны с расстояния 0,6 м, ацифровые — с 0,5 м.
При âûÿâëåíèè работающего диктофона руководитель может принять одно извозможных решений:
¨ отменить переговоры, совещание и т. п.;
¨ не вести конфиденциальных разговоров;
¨ использовать средства, создающие помехи записи на диктофонречевой информации;
Устройства çàùèòû от записи речевой информации с помощью диктофонавоздействуют создаваемыми ими полями на усилители записи диктофонов. Врезультате такого воздействия качество записи ухудшается настолько, чтоневозможно разборчивое воспроизведение речи. Современные средства подавлениязаписи класса («Рубеж», «Шумотрон», «УПД», «Буран») действуют на расстоянии до3 метров и способны непрерывно работать до 2 часов. Устройство «Буран-2»является мобильным и размещается в портфеле («дипломате»).
2.3. Защита от электромагнитныхнаводок
Все методызащиты от электромагнитных излучений и наводок можно разделить на пассивные иактивные.
Пассивныеметоды обеспечивают уменьшение уровня опасного сигнала или снижениеинформативности сигналов.
Активные методызащиты направлены на создание помех в каналах побочных электромагнитныхизлучений и наводок, затрудняющих прием и выделение полезной информации изперехваченных злоумышленником сигналов.
Дляблокирования угрозы воздействия на электронные блоки и магнитные запоминающиеустройства мощными внешними электромагнитными импульсами и высокочастотнымиизлучениями, приводящими к неисправности электронных блоков и стирающимиинформацию с магнитных носителей информации, используется экранированиезащищаемых средств.
Защита от побочныхэлектромагнитных излучений и наводок осуществляется как пассивными, так иактивными методами.
Пассивныеметоды защиты от побочных электромагнитных излучений и наводок (ПЭМИН) могутбыть разбиты на три группы: экранирование, снижение мощности излучений инаводок, снижение информативности.
Экранированиеявляется одним из самых эффективных методов защиты от электромагнитныхизлучений. Под экранированием понимается размещение элементов компьютернойсистемы, создающих электрические, магнитные и электромагнитные поля, впространственно замкнутых конструкциях. Способы экранирования зависят отособенностей полей, создаваемых элементами компьютерной системы при протеканиив них электрического тока.
Активные методызащиты от ПЭМИН предполагают применение генераторов шумов, различающихсяпринципами формирования маскирующих помех. В качестве маскирующих используютсяслучайные помехи с нормальным законом распределения спектральной плотностимгновенных значений амплитуд (гауссовские помехи) и прицельные помехи, представляющиесобой случайную последовательность сигналов помехи, идентичных побочнымсигналам.
Используетсяпространственное и линейное зашумление. Пространственное зашумлениеосуществляется за счет излучения с помощью антенн электромагнитных сигналов впространство. Применяется локальное пространственное зашумление для защитыконкретного элемента компьютерной системы и объектовое пространственноезашумление для защиты от побочных электромагнитных излучений компьютерныхсистем всего объекта.
При локальномпространственном зашумлении используются прицельные помехи. Антенна находитсярядом с защищаемым элементом компьютерной системы. Например, шумогенераторГШ-К-1000 выполнен в виде платы, вставляемой в свободный слот материнской платыкомпьютера, а антенна выведена и закреплена на корпусе системного блока.
Объектовоепространственное зашумление осуществляется, как правило, несколькимигенераторами со своими антеннами, что позволяет создавать помехи во всехдиапазонах побочных электромагнитных излучений всех излучающих устройствобъекта.
Пространственноезашумление должно обеспечивать невозможность выделения побочных излучений нафоне создаваемых помех во всех диапазонах излучения и, вместе с тем, уровеньсоздаваемых помех не должен превышать санитарных норм и норм поэлектромагнитной совместимости радиоэлектронной аппаратуры.
Прииспользовании линейного зашумления генераторы прицельных помех подключаются ктокопроводящим линиям для создания в них электрических помех, которые непозволяют злоумышленникам выделять наведенные сигналы.
3. Традиционные методы защитыинформации
При разработкекомпьютерных систем, выход из строя (или ошибки в работе) которых могутпривести к тяжелым последствиям, вопросы компьютерной безопасности становятсяпервоочередными. Традиционно меры для противодействия утечкам информацииподразделяются на технические и организационные.
К техническим мерамможно отнести защиту от несанкционированного доступа к системе, резервированиеособо важных компьютерных подсистем, организацию вычислительных сетей свозможностью перераспределения ресурсов в случае нарушения работоспособностиотдельных звеньев, установку оборудования обнаружения и тушения пожара,оборудования обнаружения воды, принятие конструкционных мер защиты от хищений, саботажа,диверсий, взрывов, установку резервных систем электропитания, оснащениепомещений замками, установку сигнализации и многое другое.
К организационным мерамотнесем охрану серверов, тщательный подбор персонала, исключение случаевведения особо важных работ только одним человеком, наличие плана восстановленияработоспособности сервера после выхода его из строя, универсальность средствзащиты от всех пользователей (включая высшее руководство).
Несанкционированныйдоступ к информации может происходить во время профилактики или ремонтакомпьютеров за счет прочтения остаточной информации на носителях, несмотря наее удаление пользователем обычными методами. Другой способ – прочтениеинформации с носителя во время его транспортировки без охраны внутри объектаили региона.
Современныекомпьютерные средства построены на интегральных схемах. При работе таких схемпроисходят высокочастотные изменения уровней напряжения и токов, что приводитк возникновению в цепях питания, в эфире, в близрасположенной аппаратуре и т.п.электромагнитных полей и наводок, которые с помощью специальных средств(условно назовем их «шпионскими») можно трансформировать вобрабатываемую информацию. С уменьшением расстояния между приемником нарушителяи аппаратными средствами вероятность такого рода съема и расшифровки информацииувеличивается.
Несанкционированноеознакомление с информацией возможно путем непосредственного подключениянарушителем «шпионских» средств к каналам связи и сетевым аппаратным средствам.
Для обеспечениябезопасности информации в личных компьютерах и в офисных сетях проводятсяразличные мероприятия, объединяемые понятием «система защиты информации».
Система защитыинформации – это совокупность мер, программно-технических средств, правовых иморально-этических норм, направленных на противодействие угрозам нарушителей сцелью сведения до минимума возможного ущерба пользователям и владельцамсистемы.
Традиционнымиметодами защиты информации от несанкционированного доступа являютсяидентификация и аутентификация, защита паролями, электронная подпись икриптографическая защита информации./> 3.1 Идентификация иаутентификация
В компьютерныхсистемах сосредоточивается информация, право на пользование которой принадлежитопределенным лицам или группам лиц, действующим в порядке личной инициативы илив соответствии с должностными обязанностями. Чтобы обеспечить безопасностьинформационных ресурсов, устранить возможность несанкционированного доступа,усилить контроль санкционированного доступа к конфиденциальной либо кподлежащей засекречиванию информации, внедряются различные системы опознавания,установления подлинности объекта (субъекта) и разграничения доступа. В основепостроения таких систем находится принцип допуска и выполнения только такихобращений к информации, в которых присутствуют соответствующие признакиразрешенных полномочий.
Ключевымипонятиями в этой системе являются идентификация и аутентификация. Идентификация– это присвоение какому-либо объекту или субъекту уникального имени или образа.Аутентификация – это установление подлинности, т.е. проверка, является лиобъект (субъект) действительно тем, за кого он себя выдает.
Конечная цельпроцедур идентификации и аутентификации объекта (субъекта) – допуск его кинформации ограниченного пользования в случае положительной проверки либоотказ в допуске в случае отрицательного исхода проверки.
Объектамиидентификации и аутентификации могут быть: люди (пользователи, операторы идр.); технические средства (мониторы, рабочие станции, абонентские пункты);документы (ручные, распечатки и др.); магнитные носители информации; информацияна экране монитора и др.
Установлениеподлинности объекта может производиться аппаратным устройством, программой,человеком и т.д. />3.2. Защита паролями
Пароль – этосовокупность символов, определяющая объект (субъекта). При выборе паролявозникают вопросы о его размере, стойкости к несанкционированному подбору,способам его применения. Естественно, чем больше длина пароля, тем большуюбезопасность будет обеспечивать система, ибо потребуются большие усилия для егоотгадывания. При этом выбор длины пароля в значительной степени определяетсяразвитием технических средств, их элементной базой и быстродействием. Кпримеру, четырехзначный пароль, в котором используются цифровые символы и 26букв латинского алфавита (то есть всего 36 возможных знаков) требуеттрудоемкого процесса распознавания на компьютере, ибо он допускает около 2 млн.уникальных комбинаций; при пятизначной длине пароля число комбинаций возрастаетдо 365 = 60 466 176. Увеличивая длину пароля и число используемых символов,можно увеличить число возможных комбинаций, повышая время на лобовой взломпароля.
Высокий уровеньбезопасности достигается в случае деления пароля на две части: одну -легкозапоминаемую человеком, и вторую, содержащую количество знаков, определяемоетребованиями к защите и возможностями технической реализации системы. Эта частьпомещается на специальный физический носитель – карточку, устанавливаемуюпользователем в специальное считывающее устройство.
В случаеприменения пароля необходимо периодически заменять его на новый, чтобы снизитьвероятность его перехвата путем прямого хищения носителя, снятия его копии идаже физического принуждения человека. Пароль вводится пользователем в началевзаимодействия с компьютерной системой, иногда и в конце сеанса (в особоответственных случаях пароль нормального выхода может отличаться от входного).Для правомочности пользователя может предусматриваться ввод пароля черезопределенные промежутки времени.
Пароль можетиспользоваться для идентификации и установления подлинности терминала, скоторого входит в систему пользователь, а также для обратного установленияподлинности компьютера по отношению к пользователю.
Учитываяважность пароля как средства повышения безопасности информации, следуетсоблюдать некоторые меры предосторожности, в том числе:
· не хранить пароли в вычислительной системе внезашифрованном виде;
· не печатать и не отображать пароли в явном виде натерминале пользователя;
· не использовать в качестве пароля свое имя или именародственников, а также личную информацию (дата рождения, номер домашнего илислужебного телефона, название улицы и др.);
· не использовать реальные слова из энциклопедии илитолкового словаря;
· выбирать длинные пароли;
· использовать смесь символов верхнего и нижнегорегистров клавиатуры;
· использовать комбинации из двух простых слов,соединенных специальными символами(например, +, = и др.);
· придумывать новые слова (абсурдные или даже бредовогосодержания);
· чаще менять пароль.
Дляидентификации пользователей могут применяться сложные в плане техническойреализации системы, обеспечивающие установление подлинности пользователя наоснове анализа его индивидуальных параметров: отпечатков пальцев, рисунка линийруки, радужной оболочки глаз, тембра голоса и др.
Широкоераспространение нашли физические методы идентификации с использованиемносителей кодов паролей. Такими носителями являются пропуска вконтрольно-пропускных системах; пластиковые карты с именем владельца, егокодом, подписью; пластиковые карточки с магнитной полосой; пластиковые карты с встроенной микросхемой (smart-card); карты оптической памяти и др./>3.3. Электронная подпись
Одно изинтенсивно разрабатываемых направлений по обеспечению безопасности информации –установление подлинности документов на основе электронной цифровой подписи –ныне простирается от проведения финансовых и банковских операций до контроля завыполнением различных договоров. Естественно, при передаче документов поканалам связи применяется факсимильная аппаратура, но в этом случае кполучателю приходит не подлинник, а лишь копия документа с копией подписи,которая в процессе передачи может быть подвергнута повторному копированию дляиспользования ложного документа.
Электроннаяцифровая подпись представляет собой способ шифрования с помощьюкриптографического преобразования и является паролем, зависящим от отправителя,получателя и содержания передаваемого сообщения. /> 3.4. Криптографическая защита информации
Криптографическоепреобразование – один из наиболее эффективных методов, резко повышающихбезопасность:
§ передачи данных в компьютерных сетях;
§ данных, хранящихся в удаленных устройствах памяти;
§ информации при обмене между удаленными объектами.
Криптографияизвестна с древнейших времен, однако она всегда оставалась привилегиейисключительно правительственных и военных учреждений. Изменениеситуации связывается с публикацией в 1949 г. книги К. Шеннона по теорииинформации и кибернетике, когда к криптографическим методам преобразованияинформации обратились многие ученые, банковские и коммерческие системы.
Защита информации методомкриптографического преобразования заключается в приведении ее к неявному видупутем преобразования составных частей информации (букв, цифр, слогов, слов) спомощью специальных алгоритмов либо аппаратных средств и кодов ключей. Ключ –это изменяемая часть криптографической системы, хранящаяся в тайне иопределяющая, какое шифрующее преобразование из возможных выполняется в данномслучае.
Для преобразования (шифрования)используется некоторый алгоритм или устройство, реализующее заданный алгоритм,которые могут быть известны широкому кругу лиц. Само же управление процессомшифрования осуществляется с помощью периодически меняющегося кода ключа,обеспечивающего оригинальное представление информации при использовании одногои того же алгоритма или устройства. Знание ключа позволяет относительно быстро,просто и надежно расшифровать данные. Однако без знания ключа эта процедураможет оказаться практически невыполнимой даже при использовании компьютера.
Требования к методам криптографииследующие :
üдостаточная устойчивость к попыткам раскрытия исходного текста на основе зашифрованного;
üобменключа не должен быть труден для запоминания;
üзатратына защитные преобразования должны быть приемлемы при заданном уровнесохранности информации;
üошибкив шифровании не должны приводить к явной потере информации;
üдлиназашифрованного текста не должна превышать длину исходного текста.
Существуют несколько методовзащитных преобразований, которые можно подразделить на четыре основные группы:перестановки, замены (подстановки), аддитивные и комбинированные методы.
Для методовперестановки и замены (подстановки) характерна короткаядлина ключа, а надежность защиты определяется сложностью алгоритмов преобразованияи, наоборот, для аддитивных методов характерны простые алгоритмы и длинныеключи.
Названные четыре методакриптографического преобразования относятся к методам симметричного шифрования,т.е. один и тот же ключ используется и для шифрования, и для дешифрования. Вметодах несимметричного шифрования для шифрования применяется один ключ,называемый открытым, а для дешифрования другой – закрытый.
Основными методамикриптографического преобразования считаются методы перестановки и метод замены.Суть первого метода заключается в разбиении исходного текста на блоки, а затемзаписи этих блоков и чтении шифрованного текста по разным путям геометрическойфигуры, например запись исходного текста по строкам матрицы, а чтение – по еестолбцам.
Шифрование методом заменызаключается в том, что символы исходного текста (блока), записанные в одномалфавите, заменяются символами другого алфавита в соответствии с принятымключом преобразования.
Комбинация этих методов породилатак называемый производный шифр, обладающий сильными криптографическимивозможностями. Комбинированый метод принят в США в качестве стандарта дляшифрования данных, а также в отечественном ГОСТе 28147–89. Алгоритм методареализуется как аппаратно, так и программно, но базовый алгоритм рассчитан на реализациюс помощью электронных устройств специального назначения, что обеспечиваетвысокую производительность и упрощенную организацию обработки информации.
ЗАКЛЮЧЕНИЕ
В интегрированных и локальныхсистемах обработки данных с использованием разнообразных технических средств,включая компьютерные, под защитой информации принято понимать использованиеразличных средств и методов, принятие мер и осуществление мероприятий с цельюсистемного обеспечения надежности передаваемой, хранимой и обрабатываемой информации.
Защитить информацию – это значит:
üобеспечитьфизическую целостность информации, т.е. не допустить искажений или уничтоженияэлементов информации;
üнедопустить подмены (модификации) элементов информации при сохранении еецелостности;
üнедопустить несанкционированного получения информации лицами или процессами, неимеющими на это соответствующих полномочий;
üбытьуверенным в том, что передаваемые (продаваемые) владельцем информации ресурсыбудут использоваться только в соответствии с обговоренными сторонами условиями.
Процессы по нарушению надежностиинформации можно классифицировать на случайные и злоумышленные(преднамеренные). В первом случае источниками разрушительных, искажающих и иныхпроцессов являются непреднамеренные, ошибочные действия людей, технические сбоии др.; во втором случае – злоумышленные действия людей. Однако независимо отпричин нарушения надежности информации это чревато самыми различнымипоследствиями.
СПИСОКЛИТЕРАТУРЫ
1. ГмурманА.И. Информационная безопасность. М.: «БИТ-М», 2004 г.
2. ДъяченкоС.И. Правовые аспекты работы в ЛВС. СП-б, «АСТ», 2002 г.
3. Доктрина информационной безопасности РФ /от 9 сентября2000 г. №ПР–1895
4. Îáèíôîðìàöèè,èíôîðìàòèçàöèèè çàùèòå èíôîðìàöèè:ÔåäåðàëüíûéÇàêîí //Ðîññèéñêàÿãàçåòà. — 1995. — 22ôåâðàëÿ.
5. Оправовой охране программ для электронных вычислительных машин и баз данных:Закон РФ от 23 сентября 1992 г. N 3523-I (с изменениями от 24 декабря 2002 г.,2 ноября 2004 г.)