- •Вопросы к экзамену
- •[Править]Шаг 1: Формирование таблицы шифрования[2]
- •[Править]Латинский алфавит
- •[Править]Русский алфавит[3]
- •[Править]Шаг 2: Принцип шифрования
- •[Править]Метод 1
- •Шифр Гронсфельда
- •Взлом полиалфавитных шифров
- •Гаммирование
- •Рекуррентный генератор последовательности чисел (ргпч)
- •Гаммирование с обратной связью
- •Выработка имитовставки
- •Алгоритм создания открытого и секретного ключей
- •Типы угроз для парольной системы.
- •Функции Службы информационной безопасности предприятия
Пара играет роль закрытого ключа RSA (англ. RSA private key) и держится в секрете.
Алгоритм шифрования:
Взять открытый ключ Алисы
Взять открытый текст
Зашифровать сообщение с использованием открытого ключа Алисы:
Алгоритм расшифрования:
Принять зашифрованное сообщение
Взять свой закрытый ключ
Применить закрытый ключ для расшифрования сообщения:
Схема шифрования “цифровой конверт”.
Цифровой конверт - Данные, добавляемые в конце сообщения и позволяющие определенному получателю проверить целостность содержания сообщения
Асимметричные алгоритмы позволяют легко обменяться ключами шифрования по открытому каналу связи - но работают слишком медленно. Симметричные алгоритмы работают быстро - но для обмена ключами требуют наличия защищенного канала связи и, к тому же, нуждаются в частой смене ключей. Поэтому в современных криптосистемах используются сильные стороны обоих подходов. Так, для шифрования сообщения используется симметричный алгоритм со случайным ключом шифрования, действующим только в пределах одного сеанса,- сеансовым ключом. Чтобы впоследствии сообщение могло быть расшифровано, сеансовый ключ подвергается шифрованию асимметричным алгоритмом с использованием открытого ключа получателя сообщения. Зашифрованный таким образом сеансовый ключ сохраняется вместе с сообщением, образуя цифровой конверт. При необходимости цифровой конверт может содержать сеансовый ключ в нескольких экземплярах - зашифрованный открытыми ключами различных получателей.
ЭЦП. Классическая схема.
Электро́нная по́дпись (ЭП) — информация в электронной форме, которая присоединена к другой информации в электронной форме (подписываемой информации) или иным образом связана с такой информацией и которая используется для определения лица, подписывающего информацию
Алгоритм шифрования :
Взять открытый текст
Создать цифровую подпись с помощью своего секретного ключа :
Передать пару , состоящую из сообщения и подписи.
Алгоритм расшифрования:
Принять пару
Взять открытый ключ Алисы
Вычислить прообраз сообщения из подписи:
Проверить подлинность подписи (и неизменность сообщения), сравнив и
Функция хэширования. Ее свойства.
Хеширование (иногда хэширование, англ. hashing) — преобразование входного массива данных произвольной длины в выходную битовую строку фиксированной длины. Такие преобразования также называются хеш-функциями или функциями свёртки, а их результаты называют хешем, хеш-кодом или дайджестом сообщения (англ. message digest).
Хеширование применяется для сравнения данных: если у двух массивов хеш-коды разные, массивы гарантированно различаются; если одинаковые — массивы, скорее всего, одинаковы. В общем случае однозначного соответствия между исходными данными и хеш-кодом нет в силу того, что количество значений хеш-функций меньше, чем вариантов входного массива; существует множество массивов, дающих одинаковые хеш-коды — так называемые коллизии. Вероятность возникновения коллизий играет немаловажную роль в оценке качества хеш-функций.
Существует множество алгоритмов хеширования с различными характеристиками (разрядность, вычислительная сложность, криптостойкость и т. п.). Выбор той или иной хеш-функции определяется спецификой решаемой задачи. Простейшими примерами хеш-функций могут служить контрольная сумма или CRC.
Среди множества существующих хеш-функций принято выделять криптографически стойкие, применяемые в криптографии. Для того чтобы хеш-функция H считалась криптографически стойкой, она должна удовлетворять трем основным требованиям, на которых основано большинство применений хеш-функций в криптографии:
Необратимость: для заданного значения хеш-функции m должно быть вычислительно неосуществимо найти блок данных , для которого .
Стойкость к коллизиям первого рода: для заданного сообщения M должно быть вычислительно неосуществимо подобрать другое сообщение N, для которого .
Стойкость к коллизиям второго рода: должно быть вычислительно неосуществимо подобрать пару сообщений , имеющих одинаковый хеш.
Данные требования не являются независимыми:
Обратимая функция нестойка к коллизиям первого и второго рода.
Функция, нестойкая к коллизиям первого рода, нестойка к коллизиям второго рода; обратное неверно.
Следует отметить, что не доказано существование необратимых хеш-функций, для которых вычисление какого-либо прообраза заданного значения хеш-функции теоретически невозможно. Обычно нахождение обратного значения является лишь вычислительно сложной задачей.
Атака «дней рождения» позволяет находить коллизии для хеш-функции с длиной значений n битов в среднем за примерно вычислений хеш-функции. Поэтому n-битная хеш-функция считается криптостойкой, если вычислительная сложность нахождения коллизий для неё близка к .
Для криптографических хеш-функций также важно, чтобы при малейшем изменении аргумента значение функции сильно изменялось (лавинный эффект). В частности, значение хеша не должно давать утечки информации даже об отдельных битах аргумента. Это требование является залогом криптостойкости алгоритмов хеширования, хеширующих пользовательский пароль для получения ключа.
Идентификация и аутентификация.
Идентификация в информационных системах — присвоение субъектам и объектам идентификатора и / или сравнение идентификатора с перечнем присвоенных идентификаторов[1]. Например, идентификация по штрихкоду.
Аутентифика́ция (англ. Authentication) — процедура проверки подлинности[1], например: проверка подлинности пользователя путём сравнения введённого им пароля с паролем в базе данных пользователей; подтверждение подлинности электронного письма путём проверки цифровой подписи письма по ключу шифрования отправителя; проверка контрольной суммы файлана соответствие сумме, заявленной автором этого файла. В русском языке термин применяется в основном в сфере информационных технологий.
Учитывая степень доверия и политику безопасности систем, проводимая проверка подлинности может быть односторонней или взаимной. Обычно она проводится с помощьюкриптографических методов.
Аутентификацию не следует путать с авторизацией[2] (процедурой предоставления субъекту определённых прав) и идентификацией (процедурой распознавания субъекта по его идентификатору).
Угрозы безопасности парольных систем.
Типы угроз для парольной системы.
Разглашение параметров для учетной записи.
- Подбор в интерактивном режиме
- Подсматривание
- Преднамеренная передача пароля другому лицу
- Захват БД парольной системы
- Перехват переданной по сети информации о пароле
- Хранение пароля в доступном месте
Вмешательство в функционирование компонентов системы
- внедрение программ закладок
- обнаружение и использование ошибок на стадии разработки
- выведение из строя парольной системы
Проблемы работы парольной системы и человека:
- выбор пароля , который легко запоминается и который легко подобрать
- сложный пароль, записанный в легко доступном документе
- дать возможность подсмотреть
Требования к выбору пароля:
- пароль выбирает человек
- система формирует пароль
- администратор назначает пароль
- система не дает выбрать плохой пароль
Требования |
Полученный эффект |
1.Установление минимальной длины пароля |
Усложняет подбор пароля тотальным перебором |
2.Использование в пароле различных групп символов |
Усложняет подбор пароля тотальным Перебором |
3.Проверка и отбраковка паролей по словарю |
Усложняет подбор пароля по словарю |
4.Установление максимального срока действия пароля |
Усложняет подбор пароля тотальным перебором даже в режиме OFFLINE |
5.Установление минимального срока действия пароля и введения журнала истории паролей |
Не позволяет полностью использовать ранее использованный пароль |
6.Ограничение попыток ввода пароля |
Препятствует интерактивному вводу пароля злоумышленником |
7.Использование задержек при вводе неправильного пароля |
Препятствует интерактивному вводу пароля злоумышленником |
8.Запрет на выбор пароля самим пользователем и автоматическая генерация пароля |
Исключает возможность подбора по словарю и подбирать можно только методом тотального подбора |
9.Принудительная смена пароля при первой регистрации пользователя в системе. |
Меньше людей знают(администратор не знает 2 пароль) |
Хранение паролей:
- в открытом виде
- в виде сверток или хешированные
- зашифрованных на некотором ключе.
Алгоритмы , которые используются для шифрования и хеширования должны быть медленнее.
Передача пароля по сети:
- передача в открытом виде
- передача в зашифрованном виде
- в виде сверток или в хешированном виде
- без непосредственной передачи пароля
Угрозы , возникающие при передаче пароля по сети:
- перехват и повторное использование информации
- перехват и восстановление пароля
- модификация передаваемой информации с целью введение в заблуждение другой стороны.
- Имитация злоумышленником действий для введения в заблуждение проверяющей стороны.
Основные задачи службы защиты информации предприятия.
Служба информационной безопасности – это самостоятельное подразделение предприятия, которое занимается решением проблем информационной безопасности данной организации. Служба информационной безопасности должна быть самостоятельным подразделением и подчиняться напрямую первому лицу в организации.
Функции Службы информационной безопасности предприятия
Организация и координация работ, связанных с защитой информации на предприятии;
Исследование технологии обработки информации с целью выявления возможных каналов утечки и других угроз безопасности информации, формирование модели угроз, разработка политики безопасности информации, определение мероприятий, направленных на ее реализацию;
Разработка проектов нормативных и распорядительных документов, действующих в границах организации, предприятия, в соответствии с которыми должна обеспечиваться защита информации на Предприятии;
Выявление и обезвреживание угроз;
Регистрация, сбор, хранение, обработка данных о всех событиях в системе, которые имеют отношение к безопасности информации;
Формирование у персонала и пользователей Предприятия понимания необходимости выполнения требований нормативно-правовых актов, нормативных и распорядительных документов, касающихся сферы защиты информации;