3.2. Способы и средства защиты информации.
Анализ уязвимости машинной информации позволяет выделить две группы возможных причин ее искажения или уничтожения:
* непреднамеренные действия (сбои технич.средств, ошибки обслуживающего персонала и пользователей, аварии и т.п.);
* несанкционированно действия (НСД и ознакомление субъектов с информацией, прямое хищение информации на другие носители, запрещенная передача информации в линии связи или на терминалы, перехват электромагнитных излучений и информации по различным каналам связи и т.п.).
Необходимо использование значительного числа способов и средств защиты информации, которые более эффективны, когда они применяются комплексно.
способы
Побуждение
Принуждение
Регламентация
Маскировка
Управление
доступом
Препятствия
Универ-сальные
Морально-
этические
Законода-
тельные
Организа-
ционные
Специализированные
Аппарат-
ные
Физические
Социально-правовые
Программные
Технические
способы
способы
средства
3.3. Шифрование - специфический способ защиты информации.
Шифрование информации - нестандартная кодировка данных, исключающая или серьезно затрудняющая возможность их прочтения без соответствующего программного или аппаратного обеспечения, требующая для открытия данных предъявления строго определенного ключа (пароля, карты ...)
Шифрование включает в себя: * непосредственное шифрование информации, * электронную подпись и * контроль доступа к информации.
Шифрование направлено на достижение четырех основных целей.
1.Статистическая защита информации, хранящейся на жестком диске компьютера или дискетах, исключает или серьезно затрудняет доступ к информации лицам, не владеющим паролем (ключем). Применяется в целях информ.безопасности на случай похищения файлов, дискет или компьютеров целиком.
2.Разделение прав и контроль доступа к данным (владение личными данными (разные компьютеры, диски одного компьютера, разные директории и файлы), не доступными другим пользователям).
3.Защита передаваемых данных через третьи лица, в том числе по электронной почте или в рамках локальной сети.
4.Идентификация подлинности и контроль целостности переданных через третьи лица документов.
Шифровальные методы делятся на два направления:
1. Симметричные классические методы с секретным ключом, в которых для зашифровки и дешифрации требуется предъявление одного и того же ключа (пароля);
2. Ассиметричные методы с открытым ключом, в которых для зашифровки и дешифрации требуется два различных ключа, один - секретный, второй - открытый. Ни один из них не подходит для решения обратной задачи.
Выполняемое шифрованием преобразование всегда обратимо при наличии симметричного или ассиметричного ключа дешифрации.
Шифрование - наиболее надежный способ защиты информации. Хотя необходимо учитывать, что: любое зашифрованное сообщение в принципе всегда может быть расшифровано, и во-вторых, перед непосредственной обработкой информации и выдачей ее пользователю производится расшифровка - при этом информация становится открытой для перехвата.
С точки зрения качества защиты информации шифрование делят на "сильное" ("абсолютное"), практически не вскрываемое без знания пароля, и "слабое", затрудняющее доступ к данным, но практически (при использовании современных ЭВМ) вскрываемое те или иным способом зареальное время без знания исходного пароля. Способы вскрытия:
* подбор пароля или рабочего ключа шифрования перебором
* угадывание пароля
* подбор или угадывание пароля при известной части пароля
* взлом собственно алгоритма шифрования.
Вне зависимости от метода шифрования любой шифр является "слабым" (т.е.вскрываемым за реальное время), если длина пароля недостаточна велика. Но длинный пароль защищает от взлома подбором пароля , но не угадыванием. Угадывание пароля основано на специально разработанных таблицах ассоциации и может занять считанные дни или часы.
Защита данных с помощью электронной подписи - вставка в данные фрагмента инородной зашифрованной информации. Применяется для идентификации подлинности переданных через третьи лица документов и произвольных данных. Сама передаваемая информация при этом никак не защищается. По традиции почти все системы электронной подписи базируются на шифровании с открытым ключом. Число уязвимых точек электронной подписи достаточно велико.
Шифрование для обеспечения контроля прав доступа. Контроль права доступа - простейшее средство защиты данных и ограничения (разграничения) использования компьютерных ресурсов, предназначенное для ограждения паролем определенной информации и системных ресурсов ЭВМ от лиц, не имеющих к ним отношения и не имеющим специального умысла получить к ним доступ. Сами данные хранятся на дисках в открытом (незащищенном) виде и всегда могут быть востребованы (похищены) в обход системы контроля, сколь бы изощренной она не была.