Смекни!
smekni.com

Защита информации в автоматизированных системах обработки данных: развитие, итоги, перспективы (стр. 2 из 4)

Основной принцип состоит в том, чтобы ключ защиты был построен на реальном, но мало известном физическом явлении. Чтобы затруднить возможность тиражирования технических средств защиты, часто скрывается принцип действия электронной схемы и состав ее компонентов.

Методы и способы аппаратной защиты должны удовлетворять следующим требованиям:

oС учетом затрат выбираемый метод должен предотвращать случайное копирование и защищать от преднамеренного копирования и подделки;

oВозможность копирования ключа должна быть предотвращена;

oЭлектронное устройство защиты (ЭУЗ) не должно мешать нормальной работе системы или затруднять использование программного обеспечения других фирм, которое может быть защищено другими средствами;

oДопускать одновременное использование программных средств с различными типами ключей защиты.

Скорость полного перебора паролей на компьютере Pentium/120 для различных криптосистем

Криптосистема илипарольная система Скорость перебора паролей в секунду
ARJ 2.5 300 000
RC5-56bit 120 000
Nivell Netware 3.x 25 000
UNIX-cripto 10 000
Microsoft Office 3 000
WindowsNT 4.0 вход в систему 2 500
RAR 2.0 1 000
UNIX-MD5 200
Доступ к файлам и принтерам Windows 95 150

В то время, когда вычислительной мощности для полного перебора всех паролей не хватало, хакерами был придуман остроумный метод, основанный на том, что в качестве пароля человеком обычно выбирается существующее слово или информация о себе или знакомых (имя, дата рождения и т.д.). Поскольку в любом языке не более 100 000 слов, то их перебор займет весьма небольшое время, то от 40 до 80% существующих паролей может быть угадано с помощью такой схемы, называемой «атакой по словарю». До 80% паролей может быть угадано с использованием словаря размером всего 1 000 слов.

Обеспечение информационной безопасности компьютерных систем

Начиная с 1999 года специалисты по компьютерным технологиям пытаются обратить внимание общественности и государственных органов на новый международный стандарт ISO/IEC15408«Единые критерии оценки безопасности информационных технологий» и группу поддерживающих его нормативных документов. Активность организаций по стандартизации ведущих государств, реально произошедшие изменения во взглядах специалистов к проблеме информационной безопасности (ИБ) и явились предостережением, что Украина может упустить реальный шанс вовремя освоить новейшее технологическое обеспечение информационной безопасности.

Актуальность решения задачи гармонизации отечественной нормативной базы с международными стандартами, а также вопросов применения международных стандартов в отечественной практике очень велика. Отрицательное решение данных задач может не только затормозить развитие отечественных систем информационной безопасности, но и откинуть Украину с достигнутых на сегодняшний день позиций в данной области.

В мире произошло переосмысление подходов к решению проблемы обеспечения информационной безопасности. С момента принятия международного стандарта ISO/IEC15408начался новый этап развития теории и практики обеспечения информационной безопасности.

До недавнего времени нормативной основой решения задач защиты информации являлись стандарты ISO7498-2:1989 «Архитектура безопасности ВОС» и ISO/IEC10181:1996 «Основы положения безопасности открытых систем». Эти документы определяли взгляды специалистов на теоретические подходы обеспечения защиты информации.

Общую логику построения систем защиты информации можно представить следующим образом:

Специальные механизмы безопасности:1. шифрование;2. механизмы цифровой прописи;3. механизмы управления доступом;4. механизмы обеспечения защиты целостности данных;5. механизмы аутентификации;6. механизмы заполнения трафика;7. механизмы управления маршрутизацией;8. механизмы нотаризации.

Сфера действий стандарта ISO7498-2 ограничивалась компьютерными системами, построенными на основе семиуровневой модели ВОС. Однако предложенный подход к построению систем защиты информации был обобщен на все открытые системы обработки, передачи и хранения информации принятием в 1996 году международного стандарта ISO/IEC10181.

Одновременно с трансформацией взглядов на процессы обработки происходит и изменение взглядов на подходы к обеспечению безопасности информации. Широкая сфера применения информационных технологий, расширение функциональных возможностей систем информационных технологий и другие причины привели к тому, что существующая модель обеспечения информационной безопасности «Угроза безопасности Þ услуга безопасности Þ механизм безопасности» перестала удовлетворять как потребителя ИТ-систем, так и их разработчика.

По типу основных классов угроз выделяют пять основных целевых задач безопасности ИТ-систем.

1.Обеспечение доступности предполагает, что обладающий соответствующими правами пользователь может использовать ресурс в соответствии с правилами установленными политикой безопасности. Эта задача направлена на предотвращение преднамеренных или непреднамеренных угроз неавторизованного удаления данных или необоснованного отказа в доступе к услуге, попыток использования системы и данных в неразрешенных целях.

2.Обеспечение целостности системы и данных рассматривается в двух аспектах. Во-первых, это целостность данных означает, что данные не могут быть модифицированы неавторизованным пользователем или процессом во время их хранения, передачи и обработки. Во-вторых, целостность заключается в том, что ни один компонент системы не может быть удален, модифицирован или добавлен.

3. Обеспечение конфедициальности данных и системной информации предполагает, что информация не может быть получена неавторизованным пользователем во время её хранения, обработки и передачи.

4. Обеспечение наблюдаемости направлено на обеспечение возможности ИТ-системы фиксировать любую деятельность пользователей и процессов, использовании пассивных объектов, устанавливать идентификаторы причастных к событиям пользователей и процессов с целью предотвращения нарушения безопасности и обеспечения ответственности пользователей за выполненные действия.

5. Обеспечение гарантий – это совокупность требований, составляющих некоторую шкалу оценки для определения степени уверенности в том, что:

oфункциональные требования действительно сформулированы и корректно реализованы;

oпринятые меры защиты обеспечивают адекватную защиту ИТ-системы;

oобеспечена достаточная стойкость от преднамеренного проникновения и использования обходных путей.

Пять основных задач тесно взаимосвязаны и взаимозависимы друг от друга:


Критерии оценки безопасности информационных технологий в европейских странах

Следуя по пути интеграции, Европейские страны приняли согласованные критерии оценки безопасности информационных технологий (InformationTechnologySecurityEvaluationCriteria, ITSEC). Версия 1.2 этих Критериев опубликована в июне 1991 года от имени соответствующих органов четырех стран – Франции, Германии, Нидерландов и Великобритании. Выгода от использования согласованных критериев очевидна для всех – и для производителей, и для потребителей, и для самих органов сертификации.

Принципиально важной чертой Европейских Критериев является отсутствие априорных требований к условиям, в которых должна работать информационная система. Организация, запрашивающая сертификационные услуги, формулирует цель оценки, то есть описывает условия, в которых должна работать система, возможные угрозы ее безопасности и предоставляемые ею защитные функции. Задача органа сертификации – оценить, насколько полно достигаются поставленные цели, то есть насколько корректны и эффективны архитектура и реализация механизмов безопасности в описанных спонсором условиях. Таким образом, Европейские Критерии относятся к гарантированности безопасной работы системы. Требования к политике безопасности и к наличию защитных механизмов не являются составной частью Критериев. Впрочем, чтобы облегчить формулировку цели оценки, Критерии содержат в качестве приложения описание десяти примерных классов функциональности, типичных для правительственных и коммерческих систем.

Основные понятия

Европейские Критерии рассматривают следующие составляющие информационной безопасности:

· конфиденциальность, то есть защиту от несанкционированного получения информации;

· целостность, то есть защиту от несанкционированного изменения информации;

· доступность, то есть защиту от несанкционированного удержания информации и ресурсов.

В Критериях проводится различие между системами и продуктами. Система – это конкретная аппаратно-программная конфигурация, построенная с вполне определенными целями и функционирующая в известном окружении. Продукт – это аппаратно-программный "пакет", который можно купить и по своему усмотрению встроить в ту или иную систему. Таким образом, с точки зрения информационной безопасности основное отличие между системой и продуктом состоит в том, что система имеет конкретное окружение, которое можно определить и изучить сколь угодно детально, а продукт должен быть рассчитан на использование в различных условиях. Угрозы безопасности системы носят вполне конкретный и реальный характер. Относительно угроз продукту можно лишь строить предположения.