Раздел1_11

б) злоумышленных действий людей, как посторонних лиц, так и входящих в состав системы;

в) побочных явлений в окружающей среде.

При этом должен быть обеспечен соответствующий уровень доступности

системы.

Всю область тайной (секретной) связи обозначают термином «крип-

тология» {с греч. «cryptos» – тайный и «logos» – сообщение}. Она делится на

два на правления [3]:

– крипография – обеспечение конфиденциальности (секретности ) и аутентичности (подлинности) передаваемых сообщений;

– криптоанализ – «взлом» системы защиты, разработанной в криптографии.

Криптография и криптоподобные преобразования информации позволя-

ют решать следующие проблемы.

1 Нарушитель выдаёт себя за другогопользователя системы.

2Подслушивание канала связи.

3Перехват и изменениеинформации.

4Отказ от сообщения пользователем, в действительности сформированного им.

5Утверждение о полученном сообщении, которое в действительно-

сти не передавалось.

6 Попытка расширения полномочий с целью получения доступа к инфор-

мации частичного доступа.

7 Попытка разрушения системы путём несанкционированного изменения прав доступа других пользователей.

С начала II мировой войны к развитию криптологии подключились математики. В 1949 г. К. Шеннон опубликовал статью «Теория связи в секретных системах», связав криптографию с теорией информации. Началась эра научной крипто-

11

логии с секретными ключами. В середине 70-х годов были изобретены системы с открытым ключём (асимметрическая криптография) и криптография начала оформляться в новую математическую теорию. Появились доказательно стойкие протоколы, надёжность которых основана на гарантированной сложности ре-

шения математических задач.

Преобразование шифрования может быть симметричным или асим-

метричным относительно преобразования расшифрования.

Асимметричная криптография с открытым ключом решает следую-

щие две проблемы, которые не решались в симметричной.

1 Как передать участникам обмена информацией сменяемые секретные

ключи?

2 Как участники обмена могут убедиться в целостности того, что они

получили? (формирование электронной цифровой подписи).

В 1976 г. опубликована статья Дифри У. и Хеллмана Н. «Новые направления в

криптографии» где показано, что секретная связь возможна без передачи секретного ключамежду отправителем и получателем.

Это метод с открытым ключом, в основе которого лежат однонаправлен-

ные (односторонние) функции: при заданном X несложно вычислить

значение Y = F(X). Но зная значение Y = F(X)определить по Y значение

Xчрезвычайно сложно.

В асимметричных системах с открытым ключом используется как минимум два ключа, один из которых невозможно вычислить из другого. Один ключ используется отправителем для шифрования, другой получателем для расшифрования (обычно один ключ секретный, другой не секретный).

Задачи аутентификации:

а) аутентификация сообщения;

б) аутентификация пользователя – является ли пользователь тем, за ко-

го он себя выдаёт?

12

в) Взаимная аутентификация абонентов сети в процессе установления

соединения между ними.

В настоящее время много локальных и корпоративных сетей различных организаций подключено к глобальной сети InterNet. В силу открытости своей идеологии InterNet предоставляет злоумышленникам много возможностей для вторжения во внутренние сети организаций с целью хищения, искажения или разрушении важной или конфиденциальной информации.

Обычно защита от возможных атак через InterNet возлагается на

межсетевые экраны (др. название – брандмауэр,firewall).

Также применяются и программные методы защиты – защищённые криптопротоколы, например, SSLи SKIP.

В средствах защиты нуждаются электронные платежные системы, в

которых в качестве универсального платёжного средства используются банковские пластиковые карты.

Здесь уязвимые места:

а) пересылки платёжных и других сообщений между банками;

б) пересылка платёжных и других сообщений между банком и банкоматом;

в) пересылка платёжных и других сообщений между банком и клиентом.

Для обеспечения защиты информации здесь должны быть реализованы

указанные ниже механизмы защиты.

1 Управления доступом на конечных системах.

2 Обеспечение целостностии конфиденциальности сообщений.

3 Взаимная аутентификация абонентов.

4 Гарантии доставки сообщений и т. п.

Одним из видов перспективной защиты здесь может быть микропроцессор-

ная карта [4] (смарт-карта: smart – строгий, испытанный), в которой благодаря

13

встроенному микропроцессору обеспечивается большой набор функций защиты и выполнения всех операций взаимодействия.

Таким образом, развитие и усложнение средств и форм автоматизации процессов обработки информации повышает зависимость общества от степени безопасности используемых или информационных

технологий.

1.1 Основные определения информационной безопасности компьютерных систем

Понятие «информация» толкуется широко [5].

1 По В.И. Шаповалову: «Информация об объекте есть изменение параметра наблюдателя, вызванное взаимодействие наблюдателя с объектом».

2 По Шеннону – подход, связанный с количественным измерением информа-

ции.

3 Теория информации: «Информация определяется только вероятностными свойствами сообщений. Все другие их свойства игнорируются».

Для АСОИУ используют понятие: «ИНФОРМАЦИЯ – сведения о

фактах, событиях, процессах и явлениях, о состоянии объектов в некоторой

предметной области, воспринимаемых человеком или специальным устрой-

ством и используемые для оптимизации принимаемых решений в про-

цессе управления данными объектами». Информация может существовать в различных формах в виде совокупностей знаков, сигналов, символов на носителях различных типов, т. е. в виде данных. ??????????????????

Таким образом, ИНФОРМАЦИЯ – ЭТО СМЫСЛ (семантическое поня-

тие), а ДАННЫЕ – ЭТО СПОСОБ СУЩЕСТВОВАНИЯ

ИНФОРМАЦИИ В КОДИРОВАННОМ ВИДЕ (синтаксическое понятие),

т. е. информация всегда закодирована.

14

Под АСОИУ понимают организационно–техническую систему, представляющую совокупность взаимосвязанных компонентов:

–средств обработки ипередачиданных;

–методов и алгоритмов обработкив виде ПО;

–информации на различных носителях;

–персонала и пользователей системы, объединённых по какому-либо

признаку для выполнения автоматизированной обработки информации с целью удовлетворения информационных потребностей субъектов информационных отношений.

Особенность обеспечения информационной безопасности в АС – то, что аб-

страктные понятия имеют физические представления в среде ВТ:

–«субъект доступа»– активные программы и процессы;

–«представление информации» – машинные носители информа-

ции (терминалы, печатающие устройства, накопители, каналы связи), тома, их

разделы и подразделы, файлы, записи, ОЗУи т. д.

Безопасность информации в АС – это такое состояние АС, при котором она способна противостоять дестабилизирующему воздействию, и в то же время не создает информационных угроз для элементов самой системыи внешней среды.

Безопасность АСОИУ – защищённость от случайного или преднамеренного вмешательства в процесс функционирования, а также от попыток хищения, изменения или разрушения компонентов АСОИ. Безопасность системы достигается принятием мер по обеспечению конфиденциальности и целостности обрабатываемой информации, доступности и целостности компонентов и ресурсов.

Доступ к информации – это ознакомление с информацией, её обра-

ботка (копирование, модификация или уничтожение). Различают санкциониро-

ванный и несанкционированный доступ.

15

АСОД

Автоматизированная система обработки данных,

центральным обрабатывающим элементом которой мо-

жет быть любая ЭВМ.

Администрация

Должностные лица, наделённые владель-

системы

цем автоматизированной системы правами по

управлению процессом обработки информа-

ции.

Администра-

Меры, принимаемые администрацией си-

тивные меры по за-

стемы по обеспечению безопасности информа-

щите информации

ции в организационном порядке согласно

должностной инструкции.

Аутентифика-

Проверка подлинности субъекта или объ-

ция

екта.

Аварийная ситуация

Случайные воздействия на информацию в резуль-

тате отказа функционирования вычислительной системы

по причине аварии энергопитания, жизнеобеспечения,

пожаров, наводнений и других подобного рода случай-

ных событий.

Верификация

Проверка целостности информации, про-

и т. д.

граммы, документа

Достоверность

Метод обработки информации, обеспечи-

информации

вающий с заданной точностью возможность

контроля ее целостности при обработке, хра-

.

нении, передачи по линиям и каналам связи

Идентификация

Присвоение имени субъекту или объекту.

Иногда используются в смысле аутентификация.

Канал доступа к

Физическая среда или технические сред-

информации

ства, обеспечивающие возможность доступа

человека к информации.

Комплекс средств

Территориально-сосредоточенный комплекс аппа-

16

автоматизации обработки

ратных и программных средств, выполняющих общую

информации

задачу по автоматизированной обработке информации:

вычислительная система, узел коммутации, абонентский

пункт, системы телеобработки данных и т. д.

Модификация

Несанкционированное изменение инфор-

информации

мации, корректное по форме и содержанию, но

другое по смыслу.

Нарушитель

в

Посторонний человек или законный поль-

вычислительной

си-

зователь, предпринимающий попытку не-

к информации в

стеме

санкционированного доступа

корыстных интересах, для развлечения или само-

утверждения.

Организационные

Рекомендации главного конструктора си-

мероприятия по

за-

стемы по организации защиты информации,

щите информации

включаемые в инструкцию по эксплуатации,

а также административные меры, включае-

мые в должностные инструкции и выполняе-

потребителем систе-

мые на месте эксплуатации

мы.

Пользователь си-

1)

Должностное лицо, осуществляющее ра-

АСОД. 2)

стемы

боту с оперативной информацией

АСОД.

Владелец

Программный

Специально

разработанная

программа-

вирус

вредитель, имеющая способность разрушать и

АСОД

видоизменять программное обеспечение

.

и воспроизводить себе подобных

Программа-ФАГ

Специально разработанная программа для обнару-

жения и удаления программного вируса.

Пароль

Строка или последовательность символов, недо-

ступных для посторонних и предназначенных для иден-

тификации и аутентификации субъектов или объектов

17

между собой.

Прочность

за-

Вероятность

неопреодоления

защиты

нарушителем

щиты

за

определённый

промежуток

.

времени

ПЭМИН

Побочное электромагнитное излучение и

наводки.

Сертификация

Присвоение определенного уровня оценки

безопасных АС

защищённости информации

в

конкретной

АС.

Утечка инфор-

Ознакомление постороннего лица с содер-

мации

жанием секретной информации.

Функциональный

Метод обеспечения контроля

функционирования

контроль АС

АС с целью обнаружения отказов, неисправностей,

ошибок и сбоев аппаратуры, программного обеспечения

и ошибок человека.

Шифрование

ин-

Криптографическое преобразование

информа-

формации

ции в целях ее защиты от НСД посторонних лиц.

Эффективность

за-

Способность системы защиты информации обеспе-

чить достаточный уровень ее безопасности.

щиты информации.

Санкционированный доступ к информации – это доступ, не нарушающий установленные правила разграничения доступа.

Правила разграничения доступа – это регламентация права доступа «субъ-

ектов доступа» к «объектам доступа».

Несанкционированный доступ к информации – нарушение установленных правил разграничения доступа. Лицо или процесс, осуществляющие несанкционированный доступ, являются нарушителями правил разграничения доступа.

Конфиденциальность данных – это статус, предоставленный дан-

ным и определяющий требуемую степень их защиты. Это свойство ин-

формации быть известной только допущенным и прошедшим проверку (авторизированным) субъектам системы (пользователям, процессам, программам).

18

Субъект – это активный компонент системы, который может стать причиной потока информации от объекта к субъекту или изме-

нения состояния системы.

Объект – это пассивный компонент системы, хранящий, принимающий или передающий информацию. Доступ к объекту означает доступ

к содержащейся в нем информации.

Целостность информации – состояние, когда данные в системе не отличаются в семантическом (значении слов) отношении от данных в исходных документах.

Целостность компонента или ресурса системы – это свойство компонента или ресурса быть неизменным в семантическом смысле при работе системы в условиях случайных или преднамеренных положений или разрушающих воздействий.

Доступность компонента или ресурса системы – это свойство компонента или ресурса быть доступным для авторизованных законных объектов системы.

Угроза безопасности АСОИ – возможные воздействия, которые могут прямо или косвенно нанести ущерб ее безопасности.

Ущерб безопасности АСОИ – нарушение состояния защищенности информации, содержащейся и обрабатывающейся в АСОИ.

Уязвимость АСОИ – некоторое неудачное свойство системы, которое делает возможным возникновение и реализацию угрозы.

Атака на компьютерную систему – действие, предпринятое злоумышлен-

ником, которое заключается в поиске и использовании той или иной уязвимо-

сти. То есть, атака – это реализация угрозы безопасности.

Безопасная (защищённая) система – система со средствами защиты, которые успешно и эффективно противостоят угрозе безопасности.

Комплекс средств защиты – совокупность программных и технических средств, создаваемых и поддерживаемых для обеспечения

19

информационной безопасности АСОИ. Обычно поддерживается в соответ-

ствии с принятой в организации политикой безопасности.

Политика безопасности – совокупность норм, правил и практических рекомендаций, регламентирующих работу средств защиты

АСОИ от заданного множества угроз безопасности.

Защищённость информации – поддержание на заданном уровне тех параметров находящейся в автоматизированной системе информации, которые характеризуют установленный статус еёхранения, обработки и использования.

Защита информации – процесс создания и использования в автоматизированных системах специальных механизмов, поддерживающих установленный статус её защищённости.

Изначально защищенная информационная технология – технология, являю-

щаяся унифицированной в широком спектре функциональных приложений и изначально содержащая все необходимые механизмы для обеспечения требуемого уровня защиты.

Качество информации – совокупность свойств, обусловливающая пригодность информации удовлетворять определенные потребности в соответствии с ее назначением.

Ценность информации – полезность информации для потребителей. Может возвращаться в денежном эквиваленте или условно,

например: «Что может случиться, если эти сведения будут потеряны, искажены или перехвачены».

Время жизни информации – интервал времени, в течение которого сведения представляют полезность. Часть информации постепенно теряет

значение, то есть информативность.

Способы хранения, транспортировки и представления информации определяют возможности пользователя, а также действия потенциальных нарушителей. Способы представления информации образуют пользовательский сервис.

20