В начало

БИБЛИОГРАФИЯ

II. МЕТОДЫ И СРЕДСТВА ЗАЩИТЫ ИНФОРМАЦИИ В КОМПЬЮТЕРНЫХ СИСТЕМАХ

ГЛАВА 3. Правовые и организационные методы защиты информации в КС

3.1. Правовое регулирование в области безопасности информации

Комплексная система защиты информации создается на объектах для блокирования (парирования) всех возможных или, по крайней мере, наиболее вероятных угроз безопасности информации. Для парирования той или иной угрозы используется определенная совокупность методов и средств защиты. Некоторые из них защищают информацию от нескольких угроз одновременно. Среди методов защиты имеются и универсальные методы, которые являются базовыми при построении любой системы защиты. Это, прежде всего, правовые методы защиты информации, которые служат основой легитимного построения и использования системы защиты любого назначения. Организационные методы защиты информации, как правило, используются для парирования нескольких угроз. Кроме того, организационные методы используются в любой системе защиты без исключений.

Государство должно обеспечить в стране защиту информации как в масштабах всего государства, так и на уровне организаций и отдельных граждан. Для решения этой проблемы государство обязано:

1. выработать государственную политику безопасности в области информационных технологий;
2. законодательно определить правовой статус компьютерных систем, информации, систем защиты информации, владельцев и пользователей информации и т. д.;
3. создать иерархическую структуру государственных органов, вырабатывающих и проводящих в жизнь политику безопасности информационных технологий;
4. создать систему стандартизации, лицензирования и сертификации в области защиты информации;
5. обеспечить приоритетное развитие отечественных защищенных информационных технологий;
6. повышать уровень образования граждан в области информационных технологий, воспитывать у них патриотизм и бдительность;
7. установить ответственность граждан за нарушения законодательства в области информационных технологий.

3.1.1. Политика государства РФ в области безопасности информационных технологий

В государстве должна проводиться единая политика в области безопасности информационных технологий. В Российской Федерации вопросы информационной безопасности нашли отражение в «Концепции национальной безопасности Российской Федерации», утвержденной Указом Президента РФ № 1300 от 17 декабря 1997 года. В этом документе отмечается, что «в современных условиях всеобщей информатизации и развития информационных технологий резко возрастает значение обеспечения национальной безопасности РФ в информационной сфере». В «Концепции национальной безопасности Российской Федерации» определены важнейшие задачи государства в области информационной безопасности:

• установление необходимого баланса между потребностью в свободном обмене информацией и допустимыми ограничениями ее распространения;
• совершенствование информационной структуры, ускорение развития новых информационных технологий и их широкое внедрение, унификация средств поиска, сбора, хранения и анализа информации с учетом вхождения России в глобальную информационную инфраструктуру;
• разработка соответствующей нормативной правовой базы и координация деятельности органов государственной власти и других органов, решающих задачи обеспечения информационной безопасности;
• развитие отечественной индустрии телекоммуникационных и информационных средств, их приоритетное по сравнению с зарубежными аналогами распространение на внутреннем рынке;
• защита государственного информационного ресурса и, прежде всего, в федеральных органах государственной власти и на предприятиях оборонного комплекса.

Усилия государства должны быть направлены на воспитание ответственности граждан за неукоснительное выполнение правовых норм в области информационной безопасности. Необходимо использовать все доступные средства для формирования у граждан патриотизма, чувства гордости за принадлежность к стране, коллективу. Важной задачей государства является также повышение уровня образования граждан в области информационных технологий. Большая роль в этой работе принадлежит образовательной системе государства, государственным органам управления, средствам массовой информации. Это важное направление реализации политики информационной безопасности.

3.1.2. Законодательная база информатизации общества

Высокие темпы информатизации, а также социально-экономические изменения в обществе, происшедшие в последние годы, требовали законодательного регулирования отношений, складывающихся в области информационных технологий. Эта проблема во многом была решена принятием Государственной Думой РФ 25 января 1995 года Федерального закона «Об информации, информатизации и защите информации». В законе даны определения основных терминов: информация; информатизация; информационные системы; информационные ресурсы; конфиденциальная информация; собственник и владелец информационных ресурсов; пользователь информации. Государство гарантирует права владельца информации, независимо от форм собственности, распоряжаться ею в пределах, установленных законом. Владелец информации имеет право защищать свои информационные ресурсы, устанавливать режим доступа к ним. В законе определены права и обязанности граждан и государства по доступу к информации. В нем установлен общий порядок разработки и сертификации информационных систем, технологий, средств их обеспечения, а также порядок лицензирования деятельности в сфере информационных технологий. В этом законе определены цели и режимы защиты информации, а также порядок защиты прав субъектов в сфере информационных процессов и информатизации.

Другим важным правовым документом, регламентирующим вопросы защиты информации в КС, является закон РФ «О государственной тайне». Он принят Постановлением Верховного Совета РФ от 21.07.1993 г. Закон определяет уровни секретности государственной информации (грифы секретности) и соответствующую степень важности информации. Руководствуясь данным законом и «Перечнем сведений, отнесенных к государственной тайне», введенным в действие Указом Президента РФ от 30 ноября 1995 года, соответствующие государственные служащие устанавливают гриф секретности информации.

Отношения, связанные с созданием программ и баз данных, регулируются Законом Российской Федерации от 23.09.1992 г. «О правовой охране программ для электронных вычислительных машин и баз данных» и Законом Российской Федерации от 09.07.1993 г. «Об авторском праве и смежных правах».

На основании приведенных правовых документов ведомства (министерства, объединения, корпорации и т. п.) разрабатывают нормативные документы (приказы, директивы, руководства, инструкции и др.), регламентирующие порядок использования и защиты информации в подведомственных организациях.

Очень важным правовым вопросом является установление юридического статуса КС и особенно статуса информации, получаемой с применением КС. Статус информации или ее правомочность служит основанием для выполнения (невыполнения) определенных действий. Например, в одних АСУ соответствующее должностное лицо имеет юридическое право принимать решения только на основании информации, полученной из АСУ. В других АСУ для принятия решения необходимо получить подтверждающую информацию по другим каналам. В одной и той же АСУ решение может приниматься как с получением подтверждающей информации, так и без нее. Примером может служить организация перевода денег с помощью АСУ. До определенной суммы перевод осуществляется автоматически при поступлении соответствующей заявки. Для перевода крупной суммы выполняются дополнительные процедуры проверки правомочности такой операции. Для этого может быть затребована дополнительная информация, в том числе и по дублирующей системе, а окончательное решение о переводе денег может принимать должностное лицо.

Правовой статус информации устанавливается с учетом ее стоимости (важности) и степени достоверности, которую способна обеспечить компьютерная система.

Важной составляющей правового регулирования в области информационных технологий является установление ответственности граждан за противоправные действия при работе с КС. Преступления, совершенные с использованием КС или причинившие ущерб владельцам компьютерных систем, получили название компьютерных преступлений. В нашей стране 1 января 1997 года введен в действие новый Уголовный кодекс РФ. В него впервые включена глава № 28, в которой определена уголовная ответственность за преступления в области компьютерных технологий.

В статье 272 предусмотрены наказания за неправомерный доступ к компьютерной информации. За данное деяние предусмотрены наказания, лежащие в диапазоне от денежного штрафа в размере 200 минимальных зарплат до лишения свободы на срок до 5 лет. Отягощающими вину обстоятельствами являются совершение преступления группой лиц по предварительному сговору или организованной группой, либо лицом с использованием своего служебного положения, а равно имеющим доступ к ЭВМ, системе ЭВМ или их сети.

Статья 273 устанавливает ответственность за создание, использование и распространение вредоносных (вредительских) программ для ЭВМ. По этой статье предусмотрено наказание от штрафа в размере заработной платы или иного дохода осужденного за два месяца до лишения свободы на срок до семи лет (в зависимости от последствий).

В статье 274 определена ответственность за нарушение правил эксплуатации ЭВМ, системы ЭВМ или их сети. Нарушение правил эксплуатации лицом, имеющим доступ к ЭВМ, системе ЭВМ или их сети, если это деяние причинило существенный вред наказывается лишением права занимать определенные должности или заниматься определенной деятельностью на срок до 5 лет, либо обязательными работами на срок от ста восьмидесяти до двухсот часов. Если те же деяния повлекли тяжкие последствия, то предусмотрено лишение свободы на срок до 4 лет.

3.1.3. Структура государственных органов, обеспечивающих безопасность информационных технологий

Выработку политики информационной безопасности, подготовку законодательных актов и нормативных документов, контроль над выполнением установленных норм обеспечения безопасности информации осуществляют государственные органы, структура которых приведена на рис. 2.

Рис. 2. Структура государственных органов, обеспечивающих проведение политики информационной безопасности в РФ

Возглавляет государственные органы обеспечения информационной безопасности Президент РФ. Он руководит Советом Безопасности и утверждает указы, касающиеся обеспечения безопасности информации в государстве.

Общее руководство системой информационной безопасности, наряду с другими вопросами государственной безопасности страны, осуществляют Президент и Правительство Российской Федерации.

Органом исполнительной власти, непосредственно занимающимся вопросами государственной безопасности, является Совет Безопасности при Президенте РФ. В состав Совета Безопасности входит Межведомственная комиссия по информационной безопасности. Комиссия готовит указы Президента, выступает с законодательной инициативой, координирует деятельность руководителей министерств и ведомств в области информационной безопасности государства.

Рабочим органом Межведомственной комиссии по информационной безопасности является Государственная техническая комиссия при Президенте РФ. Эта комиссия осуществляет подготовку проектов законов, разрабатывает нормативные документы, (Решения Государственной технической комиссии), организует сертификацию средств защиты информации (за исключением криптографических средств), лицензирование деятельности в области производства средств защиты и обучения специалистов по защите информации [33, 34]. Гостехкомиссия руководит аттестацией КС, предназначенных для обработки информации, представляющей государственную тайну, или управляющих экологически опасными объектами [35]. Она координирует и направляет деятельность государственных научно-исследовательских учреждений, работающих в области защиты информации, обеспечивает аккредитацию органов лицензирования и испытательных центров (лабораторий) по сертификации. Эта комиссия обеспечивает также работу Межведомственной комиссии по защите государственной тайны.

На Межведомственную комиссию по защите государственной тайны возложена задача руководства лицензированием предприятий, учреждений и организаций, связанных с использованием сведений, составляющих государственную тайну, с созданием средств защиты информации, а также оказанием услуг по защите гостайны. Кроме того, эта комиссия осуществляет координацию работы по организации сертификации средств защиты информации.

Федеральное агентство правительственной связи и информации при Президенте Российской Федерации (ФАПСИ) обеспечивает правительственную связь и информационные технологии государственного управления. Агентство осуществляет сертификацию всех средств, используемых для организации правительственной связи и информатизации государственного управления, а также лицензирует все предприятия, учреждения и организации, занимающиеся производством таких средств. Кроме того, в исключительном ведении ФАПСИ находятся вопросы сертификации и лицензирования в области криптографической защиты информации.

В министерствах и ведомствах создаются иерархические структуры обеспечения безопасности информации, которые, как правило, совпадают с организационной структурой министерства (ведомства). Называться они могут по-разному, но функции выполняют сходные.

3.2. Общая характеристика организационных методов защиты информации в КС

Законы и нормативные акты исполняются только в том случае, если они подкрепляются организаторской деятельностью соответствующих структур, создаваемых в государстве, в ведомствах, учреждениях и организациях. При рассмотрении вопросов безопасности информации такая деятельность относится к организационным методам защиты информации.

Организационные методы защиты информации включают меры, мероприятия и действия, которые должны осуществлять должностные лица в процессе создания и эксплуатации КС для обеспечения заданного уровня безопасности информации.

Организационные методы защиты информации тесно связаны с правовым регулированием в области безопасности информации. В соответствии с законами и нормативными актами в министерствах, ведомствах, на предприятиях (независимо от форм собственности) для защиты информации создаются специальные службы безопасности (на практике они могут называться и иначе). Эти службы подчиняются, как правило, руководству учреждения. Руководители служб организуют создание и функционирование систем защиты информации. На организационном уровне решаются следующие задачи обеспечения безопасности информации в КС:

• организация работ по разработке системы защиты информации;
• ограничение доступа на объект и к ресурсам КС;
• разграничение доступа к ресурсам КС;
• планирование мероприятий;
• разработка документации;
• воспитание и обучение обслуживающего персонала и пользователей;
• сертификация средств защиты информации;
• лицензирование деятельности по защите информации;
• аттестация объектов защиты;
• совершенствование системы защиты информации;
• оценка эффективности функционирования системы защиты информации;
• контроль выполнения установленных правил работы в КС.

Организационные методы являются стержнем комплексной системы защиты информации в КС. Только с помощью этих методов возможно объединение на правовой основе технических, программных и криптографических средств защиты информации в единую комплексную систему. Конкретные организационные методы защиты информации будут приводиться при рассмотрении парирования угроз безопасности информации. Наибольшее внимание организационным мероприятиям уделяется при изложении вопросов построения и организации функционирования комплексной системы защиты информации.

Контрольные вопросы

1. Перечислите задачи государства в области безопасности информации.
2. Охарактеризуйте основные законы РФ, регулирующие отношения в области информационных технологий.
3. Назовите государственные органы, обеспечивающие безопасность информационных технологий, и решаемые ими задачи.
4. Дайте общую характеристику организационным методам защиты информации в КС.

ГЛАВА 4. Защита информации в КС от случайных угроз

4.1. Дублирование информации

Для блокирования (парирования) случайных угроз безопасности информации в компьютерных системах должен быть решен комплекс задач (рис. 3).

Рис. 3. Защита информации в КС от случайных угроз

Дублирование информации является одним из самых эффективных способов обеспечения целостности информации. Оно обеспечивает защиту информации как от случайных угроз, так и от преднамеренных воздействий.

В зависимости от ценности информации, особенностей построения и режимов функционирования КС могут использоваться различные методы дублирования, которые классифицируются по различным признакам [43].

По времени восстановления информации методы дублирования могут быть разделены на:

• оперативные;
• неоперативные.

К оперативным методам относятся методы дублирования информации, которые позволяют использовать дублирующую информацию в реальном масштабе времени. Это означает, что переход к использованию дублирующей информации осуществляется за время, которое позволяет выполнить запрос на использование информации в режиме реального времени для данной КС. Все методы, не обеспечивающие выполнения этого условия, относят к неоперативным методам дублирования.

По используемым для целей дублирования средствам методы дублирования можно разделить на методы, использующие:

• дополнительные внешние запоминающие устройства (блоки);
• специально выделенные области памяти на несъемных машинных носителях;
• съемные носители информации.

По числу копий методы дублирования делятся на:

• одноуровневые;
• многоуровневые.

Как правило, число уровней не превышает трех.

По степени пространственной удаленности носителей основной и дублирующей информации методы дублирования могут быть разделены на следующие методы:

• сосредоточенного дублирования;
• рассредоточенного дублирования.

Для определенности целесообразно считать методами сосредоточенного дублирования такие методы, для которых носители с основной и дублирующей информацией находятся в одном помещении. Все другие методы относятся к рассредоточенным.

В соответствии с процедурой дублирования различают методы:

• полного копирования;
• зеркального копирования;
• частичного копирования;
• комбинированного копирования.

При полном копировании дублируются все файлы.

При зеркальном копировании любые изменения основной информации сопровождаются такими же изменениями дублирующей информации. При таком дублировании основная информация и дубль всегда идентичны.

Частичное копирование предполагает создание дублей определенных файлов, например, файлов пользователя. Одним из видов частичного копирования, получившим название инкрементного копирования, является метод создания дублей файлов, измененных со времени последнего копирования.

Комбинированное копирование допускает комбинации, например, полного и частичного копирования с различной периодичностью их проведения.

Наконец, по виду дублирующей информации методы дублирования разделяются на:

• методы со сжатием информации;
• методы без сжатия информации.

В качестве внешних запоминающих устройств для хранения дублирующей информации используются накопители на жестких магнитных дисках и магнитных лентах. Накопители на жестких магнитных дисках применяются обычно для оперативного дублирования информации.

Наиболее простым методом дублирования данных в КС является использование выделенных областей памяти на рабочем диске. В этих областях дублируется наиболее важная системная информация. Например, таблицы каталогов и таблицы файлов дублируются таким образом, чтобы они были размещены на цилиндрах и поверхностях жесткого диска (пакета дисков), отличных от тех, на которых находятся рабочие таблицы. Такое дублирование защищает от полной потери информации при повреждении отдельных участков поверхности дисков.

Очень надежным методом оперативного дублирования является использование зеркальных дисков. Зеркальным называют жесткий магнитный диск отдельного накопителя, на котором хранится информация, полностью идентичная информации на рабочем диске. Достигается это за счет параллельного выполнения всех операций записи на оба диска. При отказе рабочего накопителя осуществляется автоматический переход на работу с зеркальным диском в режиме реального времени. Информация при этом сохраняется в полном объеме.

В компьютерных системах, к которым предъявляются высокие требования по сохранности информации (военные системы, АСУ технологическими процессами, серверы сетей, коммуникационные модули сетей и другие), как правило, используются два и более резервных диска, подключенных к отдельным контроллерам и блокам питания. Зеркальное дублирование обеспечивает надежное оперативное дублирование, но требует, как минимум, вдвое больших аппаратных затрат.

Идеология надежного и эффективного хранения информации на жестких дисках нашла свое отражение в так называемой технологии RAID (Redundant Array of Independent Disks) [42]. Эта технология реализует концепцию создания блочного устройства хранения данных с возможностями параллельного выполнения запросов и восстановления информации при отказах отдельных блоков накопителей на жестких магнитных дисках. Устройства, реализующие эту технологию, называют подсистемами RAID или дисковыми массивами RAID.

В технологии RAID выделяется 6 основных уровней: с 0-го по 5-й. С учетом различных модификаций их может быть больше. Уровни RAID определяют порядок записи на независимые диски и порядок восстановления информации. Различные уровни RAID обеспечивают различное быстродействие подсистемы и различную эффективность восстановления информации.

Нулевой уровень RAID предполагает поочередное использование блоков (накопителей на магнитных дисках) для записи файлов. Дублирование не используется. Зеркальное дублирование предусматривается на 1-м уровне RAID. На 2-м уровне биты информации поочередно размещаются на дисках. Данные размещаются на дисках с дублированием. Начиная с 3-го уровня, для восстановления информации используется не дублирование данных, а контрольная информация. Восстановление возможно при отказе одного диска. На 3-м уровне байты данных поочередно записываются на диски. Контрольная информация записывается на один выделенный диск. Начиная с 4-го уровня, поочередная запись на диски ведется блоками. На 4-м уровне для записи контрольной информации отводится выделенный диск. Подсистема 4-го уровня допускает параллельное выполнение запросов на чтение, но запись осуществляется последовательно, так как контрольная информация записывается на один диск. На 5-м уровне осуществляется поочередная запись на диски как блоков данных, так и контрольной информации. На этом уровне возможно осуществлять одновременно несколько операций чтения или записи. В случае отказа одного диска последний восстанавливается с помощью контрольной информации. Для восстановления информации с отказавшего диска требуется до 10 минут времени.

Блочная конструкция подсистем RAID позволяет наращивать число дисков. Реальные подсистемы поддерживают несколько уровней, которые выбираются пользователем с учетом требований, предъявляемых к внешним запоминающим устройствам (ВЗУ) конкретной КС. В подсистемах RAID, как правило, используются резервные источники питания, что существенно повышает отказоустойчивость таких подсистем.

Для дублирования информации используются также накопители на магнитных лентах. Такие устройства обладают большой емкостью, но значительно уступают накопителям на магнитных дисках по времени доступа к информации.

В настоящее время для хранения дублирующей информации используются устройства, получившие название ленточные системы с автоматической сменой кассет (их называют также библиотеками). Такие системы состоят из одного или нескольких лентопротяжных механизмов, механизма перемещения кассет и магазина для кассет. На одной кассете может храниться 10 Гбайт сжатой или 4 Гбайта несжатой информации. Если учесть, что в магазине системы может находиться до 60 кассет (Spectra Logic 4655), то емкость таких систем позволяет хранить огромные массивы данных. Наряду с такими мощными системами могут использоваться и компактные системы с емкостью магазина в несколько кассет. Например, ленточная система Conner Peripherals 4586 NP имеет магазин емкостью 4 кассеты. С учетом возможности замены кассет такие системы позволяют дублировать на ленты объемы информации, ограниченные только наличием свободных кассет. Они используются для неоперативного дублирования, поэтому информация на ленты обычно записывается в сжатом виде. С помощью этих устройств осуществляется полное, частичное и комбинированное копирование с созданием копий различных уровней.

Съемные машинные носители могут использоваться для дублирования информации без использования специальных аппаратных средств. Для этих целей используются, как правило, гибкие магнитные диски, оптоэлектронные диски, а также жесткие съемные магнитные диски и магнитные ленты.

Методы использования съемных носителей информации сходны с методами использования ленточных систем с автоматической сменой кассет.

При использовании многоуровневого дублирования может быть реализован следующий подход к созданию и использованию копий. В качестве эталона верхнего уровня используется редко изменяемая информация (программы, постоянные исходные данные). Эталон первого уровня используется только для восстановления информации, если ее невозможно восстановить с эталонов более низкого уровня, а также при изменениях информации и при периодическом контроле. Эталон второго уровня получается путем полного копирования информации с определенной периодичностью, например, один раз в сутки. На эталон первого уровня осуществляется инкрементное копирование либо по времени (раз в смену), либо после существенных и важных изменений. Например, получение важных сообщений по сети или результатов выполнения программ.

Распределенное копирование достижимо в компьютерных сетях и является практически единственным способом обеспечения целостности и доступности информации при стихийных бедствиях и крупных авариях.

4.2. Повышение надежности КС

Под надежностью понимается свойство системы выполнять возложенные на нее задачи в определенных условиях эксплуатации. При наступлении отказа компьютерная система не может выполнять все предусмотренные документацией задачи, т.е. переходит из исправного состояния в неисправное. Если при наступлении отказа компьютерная система способна выполнять заданные функции, сохраняя значения основных характеристик в пределах, установленных технической документацией, то она находится в работоспособном состоянии.

С точки зрения обеспечения безопасности информации необходимо сохранять хотя бы работоспособное состояние КС. Для решения этой задачи необходимо обеспечить высокую надежность функционирования алгоритмов, программ и технических (аппаратных) средств.

Поскольку алгоритмы в КС реализуются за счет выполнения программ или аппаратным способом, то надежность алгоритмов отдельно не рассматривается. В этом случае считается, что надежность КС обеспечивается надежностью программных и аппаратных средств.

Надежность КС достигается на этапах:

• разработки;
• производства;
• эксплуатации.

Для программных средств рассматриваются этапы разработки и эксплуатации. Этап разработки программных средств является определяющим при создании надежных компьютерных систем.

На этом этапе основными направлениями повышения надежности программных средств являются:

• корректная постановка задачи на разработку;
• использование прогрессивных технологий программирования;
• контроль правильности функционирования.

Корректность постановки задачи достигается в результате совместной работы специалистов предметной области и высокопрофессиональных программистов-алгоритмистов.

В настоящее время для повышения качества программных продуктов используются современные технологии программирования (например, CASE технология). Эти технологии позволяют значительно сократить возможности внесения субъективных ошибок разработчиков. Они характеризуются высокой автоматизацией процесса программирования, использованием стандартных программных модулей, тестированием их совместной работы.

Контроль правильности функционирования алгоритмов и программ осуществляется на каждом этапе разработки и завершается комплексным контролем, охватывающим все решаемые задачи и режимы.

На этапе эксплуатации программные средства дорабатываются, в них устраняются замеченные ошибки, поддерживается целостность программных средств и актуальность данных, используемых этими средствами.

Надежность технических средств (ТС) КС обеспечивается на всех этапах. На этапе разработки выбираются элементная база, технология производства и структурные решения, обеспечивающие максимально достижимую надежность КС в целом.

Велика роль в процессе обеспечения надежности ТС и этапа производства. Главными условиями выпуска надежной продукции являются высокий технологический уровень производства и организация эффективного контроля качества выпускаемых ТС.

Удельный вес этапа эксплуатации ТС в решении проблемы обеспечения надежности КС в последние годы значительно снизился. Для определенных видов вычислительной техники, таких как персональные ЭВМ, уровень требований к процессу технической эксплуатации снизился практически до уровня эксплуатации бытовых приборов. Особенностью нынешнего этапа эксплуатации средств вычислительной техники является сближение эксплуатации технических и программных средств (особенно средств общего программного обеспечения). Тем не менее, роль этапа эксплуатации ТС остается достаточно значимой в решении задачи обеспечения надежности КС и, прежде всего, надежности сложных компьютерных систем.

4.3. Создание отказоустойчивых КС

Отказоустойчивость - это свойство КС сохранять работоспособность при отказах отдельных устройств, блоков, схем.

Известны три основных подхода к созданию отказоустойчивых систем:

• простое резервирование;
• помехоустойчивое кодирование информации;
• создание адаптивных систем.

Любая отказоустойчивая система обладает избыточностью. Одним из наиболее простых и действенных путей создания отказоустойчивых систем является простое резервирование. Простое резервирование основано на использовании устройств, блоков, узлов, схем только в качестве резервных. При отказе основного элемента осуществляется переход на использование резервного. Резервирование осуществляется на различных уровнях: на уровне устройств, на уровне блоков, узлов и т. д. Резервирование отличается также и глубиной. Для целей резервирования могут использоваться один резервный элемент и более. Уровни и глубина резервирования определяют возможности системы парировать отказы, а также аппаратные затраты. Такие системы должны иметь несложные аппаратно-программные средства контроля работоспособности элементов и средства перехода на использование, при необходимости, резервных элементов. Примером резервирования может служить использование «зеркальных» накопителей на жестких магнитных дисках. Недостатком простого резервирования является непроизводительное использование средств, которые применяются только для повышения отказоустойчивости.

Помехоустойчивое кодирование основано на использовании информационной избыточности. Рабочая информация в КС дополняется определенным объемом специальной контрольной информации. Наличие этой контрольной информации (контрольных двоичных разрядов) позволяет путем выполнения определенных действий над рабочей и контрольной информацией определять ошибки и даже исправлять их. Так как ошибки являются следствием отказов средств КС, то, используя исправляющие коды, можно парировать часть отказов. Исправляющие возможности кодов для конкретного метода помехоустойчивого кодирования зависят от степени избыточности. Чем больше используется контрольной информации, тем шире возможности кода по обнаружению и исправлению ошибок. Ошибки характеризуются кратностью, т.е. количеством двоичных разрядов, в которых одновременно искажено содержимое. Помехоустойчивые коды обладают различными возможностями по обнаружению и исправлению ошибок различной кратности. Так классический код Хемминга обнаруживает и исправляет однократные ошибки, а двукратные ошибки - только обнаруживает.

Помехоустойчивое кодирование наиболее эффективно при парировании самоустраняющихся отказов, называемых сбоями. Помехоустойчивое кодирование при создании отказоустойчивых систем, как правило, используется в комплексе с другими подходами повышения отказоустойчивости.

Наиболее совершенными системами, устойчивыми к отказам, являются адаптивные системы. В них достигается разумный компромисс между уровнем избыточности, вводимым для обеспечения устойчивости (толерантности) системы к отказам, и эффективностью использования таких систем по назначению.

В адаптивных системах реализуется так называемый принцип элегантной деградации. Этот принцип предполагает сохранение работоспособного состояния системы при некотором снижении эффективности функционирования в случаях отказов ее элементов.

Адаптивные системы содержат аппаратно-программные средства для автоматического контроля работоспособности элементов системы и осуществления ее реконфигурации при возникновении отказов элементов. При реконфигурации восстанавливается необходимая информация (при ее утрате), отключается отказавший Элемент, осуществляется изменение связей и режимов работы элементов системы. Простым примером адаптивной КС может служить ЭВМ, имеющая в своем составе математический и графический сопроцессоры, а также оперативную память блочной структуры. Все сопроцессоры и блоки памяти используются для Достижения максимальной производительности ЭВМ. При отказе какого-либо сопроцессора он логически отключается от ЭВМ, а его функции выполняет центральный процессор. При этом система деградирует, так как снижается производительность ЭВМ. Но в то же время система сохраняет работоспособность и может завершить вычислительный процесс. При отказе блока оперативной памяти он отключается, и емкость памяти уменьшается. Чтобы избежать потерь информации при отказах процессоров и блоков оперативной памяти, вычислительный процесс возобновляется либо сначала, либо с последней контрольной точки. Механизм контрольных точек используется обычно при выполнении сложных трудоемких программ. Он заключается в запоминании всей необходимой информации для возобновления выполнения программы с определенной точки. Запоминание осуществляется через определенные интервалы времени.

В адаптивных системах даже внешние устройства не используются только как резервные. Информация, необходимая для восстановления данных с отказавшего ВЗУ, хранится на накопителях, которые используются для хранения и рабочей информации. Примером таких систем являются RAID системы.

4.4. Блокировка ошибочных операций

Ошибочные операции или действия могут вызываться отказами аппаратных и программных средств, а также ошибками пользователей и обслуживающего персонала. Некоторые ошибочные действия могут привести к нарушениям целостности, доступности и конфиденциальности информации. Ошибочная запись в ОП и на ВЗУ, нарушение разграничения памяти. При мультипрограммных режимах работы ЭВМ, ошибочная выдача информации в канал связи, короткие замыкания и обрыв проводников - вот далеко не полный перечень ошибочных действий, которые представляют реальную угрозу безопасности информации в КС.

Для блокировки ошибочных действий используются технические и аппаратно-программные средства.

Технические средства используются в основном для предотвращения ошибочных действий людей. К таким средствам относятся блокировочные тумблеры, защитные экраны и ограждения, предохранители, средства блокировки записи на магнитные ленты и магнитные дискеты.

Аппаратно-программные средства позволяют, например, блокировать вычислительный процесс при нарушениях программами адресных пространств оперативной памяти с помощью граничных регистров или ключей защиты. При мультипрограммных режимах работы ЭВМ оперативная память распределяется между программами. Приведенный механизм позволяет сравнивать адреса команд активной программы с границами разрешенной области ОП для этой программы и блокировать обращение при нарушении границ. Аппаратно-программные средства используются также для блокирования выдачи информации в неразрешенные каналы связи, запрета выполнения операций, которые доступны только в определенных режимах, например, в режиме работы операционной системы. С помощью аппаратно-программных средств может быть заблокирована запись в определенные области внешних запоминающих устройств и некоторые другие операции.

На программном уровне могут устанавливаться атрибуты файлов, в том числе и атрибут, запрещающий запись в файлы. С помощью программных средств устанавливается режим обязательного подтверждения выполнения опасных операций, таких как уничтожение файлов, разметка или форматирование ВЗУ и другие.

4.5. Оптимизация взаимодействия пользователей и обслуживающего персонала с КС

Одним из основных направлений защиты информации в КС от непреднамеренных угроз являются сокращение числа ошибок пользователей и обслуживающего персонала, а также минимизация последствий этих ошибок. Для достижения этих целей необходимы:

• научная организация труда;
• воспитание и обучение пользователей и персонала;
• анализ и совершенствование процессов взаимодействия человека с КС.

Научная организация труда предполагает:

• оборудование рабочих мест;
• оптимальный режим труда и отдыха;
• дружественный интерфейс (связь, диалог) человека с КС.

Рабочее место пользователя или специалиста из числа обслуживающего персонала должно быть оборудовано в соответствии с рекомендациями эргономики. Освещение рабочего места; температурно-влажностный режим; расположение табло, индикаторов, клавиш и тумблеров управления; размеры и цвет элементов оборудования, помещения; положение пользователя (специалиста) относительно оборудования; использование защитных средств - все это должно обеспечивать максимальную производительность человека в течение рабочего дня. Одновременно сводится к минимуму утомляемость работника и отрицательное воздействие на его здоровье неблагоприятных факторов производственного процесса. Для людей, работающих с КС, основными неблагоприятными факторами являются: излучения мониторов, шумы электромеханических устройств, гиподинамия, и, как правило, высокие нагрузки на нервную систему. Вредные воздействия устройств постоянно уменьшаются за счет совершенствования самих устройств и в результате использования защитных экранов.

Последствия гиподинамии (малоподвижного, статического положения человека на рабочем месте) и высокие нагрузки на нервную систему компенсируются оптимальным режимом труда и отдыха, а также совершенствованием процесса общения человека с КС. Так при работе с ЭВМ медики рекомендуют 10-15 минутные перерывы через каждый час работы. Во время перерывов следует выполнять физические упражнения и упражнения на снятие психических нагрузок. Продолжительность работы с использованием монитора не должна превышать 6 часов за рабочий день. При сменной организации труда после 6 часов работы должен предоставляться отдых, продолжительность которого определяется длительностью смены.

Прогресс в области электронной вычислительной техники (ЭВТ) позволил значительно облегчить взаимодействие человека с ЭВМ. Если на заре ЭВТ с компьютером мог работать только человек с высшим специальным образованием, то теперь на ПЭВМ работают дети дошкольного возраста. Дальнейшее развитие интерфейса человека с КС идет в направлении совершенствования процессов ввода-вывода информации и управления вычислительным процессом. Речевой ввод информации, автоматический ввод-вывод видео- и аудиоинформации, работа с графикой, вывод информации на экраны и табло создают новые возможности для общения человека с КС. Важным для обеспечения безопасности информации является совершенствование диалога пользователя с КС. Наличие развитых систем меню, блокировок неправильных действий, механизма напоминаний, справочных систем, систем шаблонов существенно снимает нагрузку на нервную систему, сокращает число ошибок, повышает работоспособность человека и производительность системы в целом.

Одним из центральных вопросов обеспечения безопасности информации в КС от всех классов угроз (в том числе и от преднамеренных) является вопрос воспитания и обучения обслуживающего персонала, а также пользователей корпоративных компьютерных систем. В КС общего назначения работа с пользователями затруднена и сводится, главным образом, к контролю над их деятельностью.

У обслуживающего персонала и пользователей КС необходимо воспитывать такие качества как патриотизм (на уровне государства и на уровне корпорации), ответственность, аккуратность и др. Чувство патриотизма воспитывается у граждан страны за счет целенаправленной политики государства и реального положения дел в стране. Успешная политика государства внутри страны и на международной арене способствует воспитанию у граждан патриотизма, гордости за свое отечество. Не меньшее значение, особенно для негосударственных учреждений, имеет воспитание корпоративного патриотизма. В коллективе, где ценится трудолюбие, уважительное отношение друг к другу, поощряется аккуратность, инициатива и творчество, у работника практически не бывает внутренних мотивов нанесения вреда своему учреждению. Важной задачей руководства является также подбор и расстановка кадров с учетом их деловых и человеческих качеств. Большой положительный опыт воспитания корпоративного патриотизма накоплен в Японии, где очень удачно соединяются мировой опыт управления коллективами и национальные особенности японцев.

Наряду с воспитанием специалистов большое значение в деле обеспечения безопасности информации в КС имеет и обучение работников. Дальновидный руководитель не должен жалеть средств на обучение персонала. Обучение может быть организовано на различных уровнях. Прежде всего, руководство должно всемерно поощрять стремление работников к самостоятельному обучению. Важно обучать наиболее способных, трудолюбивых работников в учебных заведениях, возможно и за счет учреждения.

Важной задачей оптимизации взаимодействия человека с КС является также анализ этого процесса и его совершенствование. Анализ должен проводиться на всех жизненных этапах КС и направляться на выявление слабых звеньев. Слабые звенья заменяются или совершенствуются как в процессе разработки новых КС, так и в процессе модернизации существующих.

4.6. Минимизация ущерба от аварий и стихийных бедствий

Стихийные бедствия и аварии могут причинить огромный ущерб объектам КС. Предотвратить стихийные бедствия человек пока не в силах, но уменьшить последствия таких явлений во многих случаях удается. Минимизация последствий аварий и стихийных бедствий для объектов КС может быть достигнута путем:

• правильного выбора места расположения объекта;
• учета возможных аварий и стихийных бедствий при разработке и эксплуатации КС;
• организации своевременного оповещения о возможных стихийных бедствиях;
• обучение персонала борьбе со стихийными бедствиями и авариями, методам ликвидации их последствий.

Объекты КС по возможности должны располагаться в тех районах, где не наблюдается таких стихийных бедствий как наводнения, землетрясения. Объекты необходимо размещать вдалеке от таких опасных объектов как нефтебазы и нефтеперерабатывающие заводы, склады горючих и взрывчатых веществ, плотин и т. д.

На практике далеко не всегда удается расположить объект вдалеке от опасных предприятий или районов с возможными стихийными бедствиями. Поэтому при разработке, создании и эксплуатации объектов КС необходимо предусмотреть специальные меры. В районах с возможными землетрясениями здания должны быть сейсмостойкими. В районах возможных затоплений основное оборудование целесообразно размещать на верхних этажах зданий. Все объекты должны снабжаться автоматическими системами тушения пожара. На объектах, для которых вероятность стихийных бедствий высока, необходимо осуществлять распределенное дублирование информации и предусмотреть возможность перераспределения функций объектов. На всех объектах должны предусматриваться меры на случай аварии в системах электропитания. Для объектов, работающих с ценной информацией, требуется иметь аварийные источники бесперебойного питания и подвод электроэнергии производить не менее чем от двух независимых линий электропередачи. Использование источников бесперебойного питания обеспечивает, по крайней мере, завершение вычислительного процесса и сохранение данных на внешних запоминающих устройствах. Для малых КС такие источники способны обеспечить работу в течение нескольких часов.

Потери информационных ресурсов могут быть существенно уменьшены, если обслуживающий персонал будет своевременно предупрежден о надвигающихся природных катаклизмах. В реальных условиях такая информация часто не успевает дойти до исполнителей. Поэтому персонал должен быть обучен действиям в условиях стихийных бедствий и аварий, а также уметь восстанавливать утраченную информацию.

Контрольные вопросы

1. Приведите классификацию задач защиты информации в КС от случайных угроз.
2. Дайте общую характеристику дублирования информации в компьютерных системах.
3. В чем заключается преимущество использования технологии RAID?
4. Назовите пути повышения надежности и отказоустойчивости КС.
5. Какие преимущества имеют адаптивные системы по сравнению с другими отказоустойчивыми системами?
6. По каким направлениям происходит оптимизация взаимодействия человека с КС?
7. Каким образом достигается блокировка ошибочных операций в компьютерных системах?
8. Чем достигается минимизация ущерба от аварий и стихийных бедствий?

ГЛАВА 5. Методы и средства защиты информации в КС от традиционного шпионажа и диверсий

5.1. Система охраны объекта КС

При защите информации в КС от традиционного шпионажа и диверсий используются те же средства и методы защиты, что и для защиты других объектов, на которых не используются КС. Для защиты объектов КС от угроз данного класса должны быть решены следующие задачи:

• создание системы охраны объекта;
• организация работ с конфиденциальными информационными ресурсами на объекте КС;
• противодействие наблюдению;
• противодействие подслушиванию;
• защита от злоумышленных действий персонала.

Объект, на котором производятся работы с ценной конфиденциальной информацией, имеет, как правило, несколько рубежей защиты:

1. контролируемая территория;
2. здание;
3. помещение;
4. устройство, носитель информации;
5. программа;
6. информационные ресурсы.

От шпионажа и диверсий необходимо защищать первые четыре рубежа и обслуживающий персонал.

Система охраны объекта (СОО) КС создается с целью предотвращения несанкционированного проникновения на территорию и в помещения объекта посторонних лиц, обслуживающего персонала и пользователей.

Состав системы охраны зависит от охраняемого объекта. В общем случае СОО КС должна включать следующие компоненты:

• инженерные конструкции;
• охранная сигнализация;
• средства наблюдения;
• подсистема доступа на объект;
• дежурная смена охраны.

5.1.1. Инженерные конструкции

Инженерные конструкции служат для создания механических препятствий на пути злоумышленников. Они создаются по периметру контролируемой зоны. Инженерными конструкциями оборудуются также здания и помещения объектов. По периметру контролируемой территории используются бетонные или кирпичные заборы, решетки или сеточные конструкции. Бетонные и кирпичные заборы имеют обычно высоту в пределах 1,8-2,5 м, сеточные - до 2,2 м [1]. Для повышения защитных свойств заграждений поверх заборов укрепляется колючая проволока, острые стержни, армированная колючая лента. Последняя изготавливается путем армирования колючей ленты стальной оцинкованной проволокой диаметром 2,5 мм. Армированная колючая лента часто используется в виде спирали диаметром 500-955 мм. Для затруднения проникновения злоумышленника на контролируемую территорию могут использоваться малозаметные препятствия. Примером малозаметных препятствий может служить металлическая сеть из тонкой проволоки. Такая сеть располагается вдоль забора на ширину до 10 метров. Она исключает быстрое перемещение злоумышленника.

В здания и помещения злоумышленники пытаются проникнуть, как правило, через двери или окна. Поэтому с помощью инженерных конструкций укрепляют, прежде всего, это слабое звено в защите объектов, Надежность двери зависит от механической прочности самой двери и от надежности замков. Чем выше требования к надежности двери, тем более прочной она выполняется, тем выше требования к механической прочности и способности противостоять несанкционированному открыванию предъявляются к замку.

Вместо механических замков все чаще используются кодовые замки. Самыми распространенными среди них (называемых обычно сейфовыми замками) являются дисковые кодовые замки с числом комбинаций кода ключа в пределах 10⁶ -10⁷.

Наивысшую стойкость имеют электронные замки, построенные с применением микросхем. Например, при построении электронных замков широко используются микросхемы Тоuch Меmorу. Микросхема помещена в стальной корпус, который по внешнему виду напоминает элемент питания наручных часов, калькуляторов и т. п. Диаметр цилиндрической части равен 16 мм, а высота - 3-5 мм. Электропитание микросхемы обеспечивается находящимся внутри корпуса элементом питания, ресурс которого рассчитан на 10 лет эксплуатации. Корпус может размещаться на пластиковой карте или в пластмассовой оправе в виде брелка. В микросхеме хранится ее индивидуальный 64-битовый номер. Такая разрядность обеспечивает около 10²⁰ комбинаций ключа, практически исключающая его подбор. Микросхема имеет также перезаписываемую память, что позволяет использовать ее для записи и считывания дополнительной информации. Обмен информацией между микросхемой и замком осуществляется при прикосновении контакта замка и определенной части корпуса микросхемы.

На базе электронных замков строятся автоматизированные системы контроля доступа в помещения. В каждый замок вводятся номера микросхем, владельцы которых допущены в соответствующее помещение. Может также задаваться индивидуальный временной интервал, в течение которого возможен доступ в помещение. Все замки могут объединяться в единую автоматизированную систему, центральной частью которой является ПЭВМ. Вся управляющая информация в замки передается из ПЭВМ администратором. Если замок открывается изнутри также при помощи электронного ключа, то система позволяет фиксировать время входа и выхода, а также время пребывания владельцев ключей в помещениях. Эта система позволяет в любой момент установить местонахождение сотрудника. Система следит за тем, чтобы дверь всегда была закрыта. При попытках открывания двери в обход электронного замка включается сигнал тревоги с оповещением на центральный пункт управления. К таким автоматизированным системам относятся отечественные системы «Менуэт» и «Полонез» [52, 53].

По статистике 85 % случаев проникновения на объекты происходит через оконные проемы. Эти данные говорят о необходимости инженерного укрепления окон, которое осуществляется двумя путями:

• установка оконных решеток;
• применение стекол, устойчивых к механическому воздействию.

Традиционной защитой окон от проникновения злоумышленников является установка решеток. Решетки должны иметь диаметр прутьев не менее 10 мм, расстояние между ними должно быть не более 120 мм, а глубина заделки прутьев в стену - не менее 200 мм [48].

Не менее серьезным препятствием на пути злоумышленника могут быть и специальные стекла. Повышение механической прочности идет по трем направлениям:

• закаливание стекол;
• изготовление многослойных стекол;
• применение защитных пленок.

Механическая прочность полузакаленного стекла в 2 раза, а закаленного в 4 раза выше обычного строительного стекла.

В многослойных стеклах используются специальные пленки с высоким сопротивлением на разрыв. С помощью этих «ламинированных» пленок и синтетического клея обеспечивается склеивание на молекулярном уровне пленки и стекол. Такие многослойные стекла толщиной 48-83 мм обеспечивают защиту от стальной 7,62 мм пули, выпущенной из автомата Калашникова.

Все большее распространение получают многофункциональные защитные полиэфирные пленки. Наклеенные на обычное оконное стекло, они повышают его прочность в 20 раз [47]. Пленка состоит из шести очень тонких (единицы микрон) слоев: лавсана (3 слоя), металлизированного и невысыхающего клея адгезива и лакового покрытия. Кроме механической прочности они придают окнам целый ряд защитных свойств и улучшают эксплуатационные характеристики. Пленки ослабляют электромагнитные излучения в 50 раз, существенно затрудняют ведение разведки визуально-оптическими методами и перехват речевой информации лазерными средствами. Кроме того, пленки улучшают внешний вид стекол, отражают до 99 % ультрафиолетовых лучей и 76 % тепловой энергии солнца, сдерживают распространение огня при пожарах в течение 40 минут.

5.1.2. Охранная сигнализация

Охранная сигнализация служит для обнаружения попыток несанкционированного проникновения на охраняемый объект. Системы охранной сигнализации должны отвечать следующим требованием:

• охват контролируемой зоны по всему периметру;
• высокая чувствительность к действиям злоумышленника;
• надежная работа в любых погодных и временных условиях;
• устойчивость к естественным помехам;
• быстрота и точность определения места нарушения;
• возможность централизованного контроля событий.

Структура типовой системы охранной сигнализации представлена на рис. 4.

Рис. 4. Структура типовой системы охранной сигнализации

Датчик (извещатель) представляет собой устройство, формирующее электрический сигнал тревоги при воздействии на датчик или на создаваемое им поле внешних сил или объектов.

Шлейф сигнализации образует электрическую цепь для передачи сигнала тревоги от датчика к приемно-контрольному устройству.

Приемно-контрольное устройство служит для приема сигналов от датчиков, их обработки и регистрации, а также для выдачи сигналов в оповещатель.

Оповещатель выдает световые и звуковые сигналы дежурному охраннику.

По принципу обнаружения злоумышленников датчики делятся на [48]:

• контактные;
• акустические;
• оптикоэлектронные;
• микроволновые;
• вибрационные;
• емкостные;
• телевизионные.

Контактные датчики реагируют на замыкание или размыкание контактов, на обрыв тонкой проволоки или полоски фольги. Они бывают электроконтактными, магнитоконтактными, ударноконтактными и обрывными.

Электроконтактные датчики представляют собой кнопочные выключатели, которые размыкают (замыкают) электрические цепи, по которым сигнал тревоги поступает на приемно-контрольное устройство при несанкционированном открывании дверей, окон, люков, шкафов и т.д. К электроконтактным относятся датчики ДЭК-3, ВК-1М, СК-1М и другие.

Магнитоконтактные датчики служат также для блокирования дверей, окон и т. п. Кроме того, эти датчики используются для охраны переносимых предметов (небольших сейфов, носителей информации, переносных устройств и т. п.). Основу датчиков составляют герконы. В герконах контакты электрической цепи замыкаются (размыкаются) под действием постоянного магнитного поля. Геркон крепится на неподвижной части, а магнит на подвижной части. При закрытых дверях, окнах и т. п., а также при нахождении переносимых предметов на месте, Геркон находится в поле магнита. При удалении магнита от геркона цепь размыкается (замыкается), и сигнал тревоги поступает на приемно-контрольное устройство. Магнитоконтактными являются датчики ДМК-П, ИО 102-4 (5, 6), СМК-3 и др.

Ударноконтактные датчики («Окно-5», ДИМК, ВМ-12М, УКД-1М и др.) используются для блокирования разрушающихся поверхностей. С помощью датчиков этого типа блокируются оконные стекла. В датчиках этого типа нормально замкнутые контакты размыкаются под действием силы инерции при перемещении корпуса датчика, приклеенного к стеклу.

При охране территорий, зданий используются обрывные датчики. Провода диаметром 0,1-0,25 мм располагают по периметру, по возможности маскируя их. Вероятность обнаружения злоумышленника повышается при параллельной прокладке проводов на расстоянии не более 200 мм. В качестве примеров обрывных датчиков можно привести датчики «Трос-1», «Кувшинка», «Трепанг».

Акустические датчики используются для охраны зданий и помещений. Принцип действия акустических датчиков основан на использовании акустических волн, возникающих при взламывании элементов конструкции помещений или отраженных от злоумышленника. Используются датчики двух типов: пассивные и активные.

Пассивные датчики улавливают акустические волны, возникающие при разрушении элементов конструкции помещения, чаще всего оконных стекол. Пассивные датчики разделяются на пьезоэлектрические и электромагнитные. В пьезоэлектрических датчиках используется свойство пьезоэлементов создавать электрический сигнал при механическом воздействии на их поверхность. В электромагнитных датчиках используется свойство возникновения ЭДС в катушке электромагнита при изменении расстояния между сердечником электромагнита и мембраной. Пассивные акустические датчики «Грань-2» и «Окно-1» применяются для блокирования окон, стен, потолков, сейфов и т. п.

Активные датчики состоят из двух блоков. Один из них излучает акустические волны ультразвукового диапазона в помещении, а другой анализирует отраженные волны. При появлении каких-либо предметов в контролируемом помещении или возгорании изменяется акустический фон, что и фиксируется датчиком. Активные акустические (ультразвуковые) датчики (ДУЗ-4, ДУЗ-5, ДУЗ-12, «Фикус-МП-2 », «Эхо-2», «Эхо-3» и др.) служат для обнаружения злоумышленников и очагов пожаров в закрытых помещениях.

Оптико-электронные датчики построены на использовании инфракрасных лучей. Такие датчики делятся на активные и пассивные. Для работы активных датчиков используется излучатель остронаправленных ИК-лучей, которые принимаются приемником. При экранировании ИК-лучей каким-либо объектом приемник фиксирует отсутствие ИК-облучения и выдает сигнал тревоги. Пассивные датчики реагируют на тепловое излучение человека или огня. Для охраны коридоров, окон, дверей и территории по периметру используются активные датчики. Излучатель датчика создает от 2 до 16 параллельных ИК-лучей. Расстояние между излучателем и приемником датчика находится в диапазоне 20-300 метров. Для охраны территорий по периметру используются активные линейные оптико-электронные излучатели («Квант-1», «Квант-2У», «Вектор-2», «Вектор-3», «Вектор-4», «Рубеж-1М», «Рубеж-3М», «Мак», «Диалог» и др.).

Пассивные оптико-электронные датчики используются при охране помещений. Они способны зафиксировать объект, температура которого не менее чем на 3°С выше температуры фона. Датчики этого типа («Фотон-М», «Фотон-3», «Фотон-4», «Фотон-5», «Фотон-6», «Фотон-СК-2», «Квант-3» и др.) чувствительны к источникам тепла (батареи, электроприборы) и солнечным лучам. Эти особенности датчиков должны учитываться при их установке.

В микроволновых (радиоволновых) датчиках для обнаружения злоумышленников используются электромагнитные волны в СВЧ диапазоне (9 -11 ГГц). Эти датчики состоят из излучателя и приемника. Различают радиолучевые и радиотехнические датчики. В радиолучевых датчиках используются излучатели, антенны которых формируют узкую диаграмму направленности в виде вытянутого эллипсоида с высотой и шириной в середине зоны обнаружения 2-10 м. Протяженность участка обнаружения достигает 300 м. Приемник реагирует на ослабление напряженности поля при пересечении объектом электромагнитного луча. При охране территорий по периметру используются радиолучевые датчики: «Радий-1», «Радий-2»,«Пион-Т», «Риф-РЛ», «Гарус», «Лена-2», «Протва», «Витим» и др.

В радиотехнических датчиках злоумышленник обнаруживается по изменению характеристик СВЧ поля. В этих датчиках в качестве антенны излучателя в СВЧ диапазоне используется специальный радиочастотный кабель, который прокладывается по периметру охраняемой территории. Антенна приемника находится в центре территории или представляет собой кабель, проложенный параллельно излучающему кабелю. При попадании злоумышленника в зону излучения характеристики сигнала на входе приемника изменяются, и приемник выдает сигнал тревоги в приемно-контрольное устройство. Система «Виадук», например, с расположенным в центре зоны приемником, позволяет контролировать территорию радиусом до 300 метров.

В радиотехнических датчиках «Бином» и «S-Тrах» электромагнитное поле создается между двумя параллельно расположенными коаксиальными кабелями с отверстиями. Кабели укладываются под землю вдоль периметра контролируемой территории на глубине 10-15 см на удалении 2-3 метра друг от друга. Один кабель через отверстия в оплетке создает электромагнитное поле, а параллельно проходящий кабель также через отверстия принимает это электромагнитное поле. Создаваемое поле имеет размеры: ширина - до 10 метров, высота и глубина - до 70 см. Такая кабельная система охраны позволяет обнаруживать не только злоумышленника, передвигающегося по поверхности земли, но и фиксировать попытки подкопа.

Вибрационные датчики обнаруживают злоумышленника по вибрации земли, заграждений, создаваемой им при проникновении на контролируемую территорию. Если датчики размещаются под землей, то их называют сейсмическими. Вибрационные датчики выполняются в виде отдельных пьеза- и электромагнитных чувствительных элементов, в виде световодов, кабелей с электрическим и магнитным полями, а также в виде шлангов с жидкостью. При механическом воздействии на датчики изменяются физические характеристики веществ, полей, светового луча, которые преобразуются в электрические сигналы тревоги. Примерами разработок вибрационных датчиков являются волоконно-оптический датчик «Ворон», кабель с магнитным полем «Guardwire» (Великобритания).

Принцип действия емкостных датчиков заключается в изменении эквивалентной емкости в контуре генератора сигналов датчика, которое вызывается увеличением распределенной емкости между злоумышленником и антенной датчика. Расстояние срабатывания составляет 10-30 см. В качестве антенны может быть использован охраняемый металлический объект (сейф, шкаф) или провод. Провод-антенна может быть проложен по верхней части забора, вдоль окон, дверных проемов и т. п. Емкостные датчики «Ромб-К4», «Пик», «Барьер-М», «Риф», «Градиент» и др. широко используются при охране контролируемых территорий, конструкций зданий и помещений.

Для контроля охраняемой зоны небольших размеров или отдельных важных помещений могут использоваться телевизионные датчики. Такой датчик представляет собой телевизионную камеру (VM 216 фирмы Retan), которая непрерывно передает изображение участка местности. Приемно-контрольное устройство с определенной дискретностью (до 20 раз в секунду) опрашивает датчики и сравнивает изображение с полученным ранее. Если в изображениях замечается различие (появление новых объектов, движение объектов), то включается монитор дежурного охранника с подачей звукового сигнала и включением видеомагнитофона.

При попытках уничтожения, обесточивания датчиков и шлейфов всех рассмотренных типов дежурный оператор охраны получает сигнал тревоги. Каждый тип датчиков фиксирует попытки проникновения на охраняемую территорию с определенной вероятностью. Для датчиков также возможно ложное срабатывание при появлении естественных помех, таких как сильный ветер, птицы и животные, гром и др. Повышение надежности работы систем контроля доступа на территорию объекта достигается путем:

• комбинированного использования датчиков разного типа;
• совершенствования датчиков и приемно-контрольных устройств.

Так в системах «Протва-3» и «Протва-4» используются одновременно вибрационные, радиолучевые и радиотехнические датчики. В системе «Гоби» применяются комплексно радиолучевые, вибрационные, контактные и емкостные датчики. Комбинированное использование датчиков различных типов значительно снижает вероятность бесконтрольного проникновения злоумышленника на территорию объекта КС. Основными направлениями совершенствования датчиков являются повышение чувствительности и помехоустойчивости. Наиболее сложной задачей является повышение помехоустойчивости датчиков. Для решения этой задачи в датчиках должны быть заложены следующие возможности:

• регулировка чувствительности;
• анализ нескольких признаков возможного злоумышленника (например, размера и динамики перемещения);
• обучаемость;
• устойчивость к изменениям погодных условий.

Чтобы обеспечить реализацию таких возможностей, современные датчики создаются с использованием микропроцессорной техники.

Совершенствование приемно-контрольных устройств идет в направлении увеличения числа подключаемых шлейфов и типов датчиков, повышения достоверности сигналов тревоги за счет дополнительной обработки поступающих сигналов от датчиков, интеграции управления всеми охранными системами, включая систему пожарной безопасности, в одном устройстве управления комплексной системой охраны объекта. Такое устройство выполняется на базе ПЭВМ [46].

5.1.3. Средства наблюдения

Организация непрерывного наблюдения или видео контроля за объектом является одной из основных составляющих системы охраны объекта. В современных условиях функция наблюдения за объектом реализуется с помощью систем замкнутого телевидения. Их называют также телевизионными системами видеоконтроля (ТСВ).

Телевизионная система видео контроля обеспечивает:

• автоматизированное видео наблюдение за рубежами защиты;
• контроль за действиями персонала организации;
• видеозапись действий злоумышленников;
• режим видео охраны.

В режиме видео охраны ТСВ выполняет функции охранной сигнализации. Оператор ТСВ оповещается о движении в зоне наблюдения. В общем случае телевизионная система видеоконтроля включает следующие устройства (рис. 5):

Рис 5. Структурная схема телевизионной системы видеоконтроля

• передающие телевизионные камеры;
• мониторы;
• устройство обработки и коммутации видеоинформации (УОКВ);
• устройства регистрации информации (УРИ).

Диапазон применяемых телевизионных камер в ТСВ очень широк. Используются черно-белые и цветные камеры. Телекамеры могут устанавливаться скрытно. Для этих целей используются миниатюрные специальные камеры с уменьшенным наружным диаметром глазка. Камеры различаются также разрешающей способностью, длиной фокусного расстояния и рядом других характеристик. Для нормального функционирования телекамер в зоне их применения должна поддерживаться требуемая освещенность.

Используются черно-белые и цветные мониторы. Они отличаются также разрешающей способностью и размерами экрана.

В простейших ТСВ изображение от телекамер непосредственно подается на входы мониторов.

При наличии мониторов от 4-х и более оператору сложно вести наблюдение. Для сокращения числа мониторов используются устройства управления. В качестве устройств обработки и коммутации видеоинформации могут применяться следующие устройства:

• коммутаторы;
• квадраторы;
• мультиплексоры;
• детекторы движения.

Коммутаторы позволяют подключить к одному монитору от 4 до 16 телекамер с возможностью ручного или автоматического переключения с камеры на камеру.

Квадраторы обеспечивают одновременную выдачу изображения на одном мониторе от нескольких телекамер. Для этого экран монитора делится на части по количеству телекамер.

Мультиплексор является более совершенным УОКВ. Он может выполнять функции коммутатора и квадратора. Кроме того, он позволяет осуществлять запись изображения на видеомагнитофон с любой камеры. Мультиплексор может включать в себя встроенный детектор движения.

Детектор движения оповещает оператора о движении в зоне контроля телекамеры, подключает эту камеру для записи видеоинформации на видеомагнитофон.

Видеомагнитофон относится к устройствам регистрации видеоинформации. В системах ТСВ используются специальные видеомагнитофоны, которые обеспечивают гораздо большее время записи (от 24 часов до 40 суток), чем бытовые видеомагнитофоны. Это достигается за счет пропуска кадров, уплотнения записи, записи при срабатывании детектора движения или по команде оператора.

Для фиксации отдельных кадров на бумаге используется другое УРИ - видеопринтер.

В Российской Федерации в основном применяется импортная телевизионная техника. Десятки российских компаний занимаются поставкой оборудования, и лишь некоторые из них осуществляют проектирование, монтаж, обслуживание ТСВ и обучение персонала.

5.1.4. Подсистема доступа на объект

Доступ на объекты производится на контрольно-пропускных пунктах (КПП), проходных, через контролируемый вход в здания и помещения. На КПП и проходных дежурят контролеры из состава дежурной смены охраны. Вход в здания и помещения может контролироваться только техническими средствами. Проходные, КПП, входы в здания и помещения оборудуются средствами автоматизации и контроля доступа.

Одной из основных задач, решаемых при организации допуска на объект, является идентификация и аутентификация лиц, допускаемых на объект. Их называют субъектами доступа.

Под идентификацией понимается присвоение субъектам доступа идентификаторов и (или) сравнение предъявляемых идентификаторов с перечнем присвоенных идентификаторов, владельцы (носители) которых допущены на объект.

Аутентификация означает проверку принадлежности субъекту доступа предъявленного им идентификатора, подтверждение подлинности.

Различают два способа идентификации людей: атрибутивный и биометрический. Атрибутивный способ предполагает выдачу субъекту доступа либо уникального предмета, либо пароля (кода), либо предмета, содержащего код.

Предметами, идентифицирующими субъект доступа, могут быть пропуска, жетоны или ключи от входных дверей (крышек устройств). Пропуска, жетоны и тому подобные идентификаторы не позволяют автоматизировать процесс допуска. Идентификация и аутентификация личности осуществляется контролером и поэтому носит субъективный характер. Пароль представляет собой набор символов и цифр, который известен только владельцу пароля и введен в систему, обеспечивающую доступ. Пароли используются, как правило, в системах разграничения доступа к устройствам КС. При допуске на объекты КС чаще используются коды. Они используются для открытия кодовых замков и содержат, в основном, цифры. Наиболее перспективными являются идентификаторы, которые представляют собой материальный носитель информации, содержащий идентификационный код субъекта доступа. Чаще всего носитель кода выполняется в виде пластиковой карты небольшого размера (площадь карты примерно в 2 раза больше площади поверхности спичечного коробка). Код идентификатора может быть считан только с помощью специального устройства. Кроме кода карта может содержать фотографию, краткие данные о владельце, т. е. ту информацию, которая обычно имеется в пропусках.

Пластиковые карты должны отвечать ряду требований:

• сложность несанкционированного считывания кода и изготовления дубля карты;
• высокие эксплуатационные качества;
• достаточная длина кода;
• низкая стоимость.

Под эксплуатационными качествами понимается надежность функционирования, возможность периодической смены кода, устойчивость к воздействиям внешней среды, удобство хранения и использования, длительный срок службы.

В зависимости от физических принципов записи, хранения и считывания идентификационной информации карты делятся на [48]:

• магнитные;
• инфракрасные;
• карты оптической памяти;
• штриховые;
• карты «Виганд»;
• полупроводниковые.

Магнитные карты имеют магнитную полосу, на которой может храниться около 100 байт информации. Эта информация считывается специальным устройством при протаскивании карты в прорези устройства.

На внутреннем слое инфракрасных карт с помощью специального вещества, поглощающего инфракрасные лучи, наносится идентификационная информация. Верхний слой карт прозрачен для инфракрасных лучей. Идентификационный код считывается при облучении карты внешним источником инфракрасных лучей.

При изготовлении карт оптической памяти используется WORM-технология, которая применяется при производстве компакт-дисков. Зеркальная поверхность обрабатывается лучом лазера, который прожигает в нужных позициях отверстия на этой поверхности. Информация считывается в специальных устройствах путем анализа отраженных, от поверхности лучей. Емкость такой карты от 2 до 16 Мбайт информации.

В штриховых картах на внутреннем слое наносятся штрихи, которые доступны для восприятия только при специальном облучении лучами света. Варьируя толщину штрихов и их последовательность, получают идентификационный код. Процесс считывания осуществляется протаскиванием карты в прорези считывающего устройства.

Карточки «Виганд» содержат в пластиковой основе впрессованные отрезки тонкой проволоки со случайной ориентацией. Благодаря уникальности расположения отрезков проволоки каждая карта особым образом реагирует на внешнее электромагнитное поле. Эта реакция и служит идентифицирующим признаком.

Полупроводниковые карты содержат полупроводниковые микросхемы и могут быть контактными и бесконтактными. Контактные карты имеют по стандарту ISО 7816-1:1988 восемь металлических контактов с золотым покрытием. Наиболее простыми полупроводниковыми контактными картами являются карты, содержащие только микросхемы памяти. Наибольшее распространение из карт такого типа получили карты Тоuch Меmоrу. Карта содержит постоянную память объемом 64 бита, в которой хранится серийный номер Тоuch Меmorу. Карта может иметь и перезаписываемую энергонезависимую память объемом от 1 Кбит до 4 Кбит. Карта этого типа не имеет разъема. Его заменяет двухпроводный интерфейс последовательного типа.

Полупроводниковые карты, имеющие в своем составе микропроцессор и память, называют интеллектуальными или смарт-картами. Смарт-карты фактически содержат микро-ЭВМ. Кроме задач идентификации такие карты решают целый ряд других задач, связанных с разграничением доступа к информации в КС. Еще более широкий круг задач способны решать суперсмарткарты. Примером может служить многоцелевая карта фирмы Тоshibа, которая используется в системе VISA. Возможности смарт-карты в таких картах дополнены миниатюрным монитором и клавиатурой.

Бесконтактные («проксимити») карты имеют в своем составе энергонезависимую память, радиочастотный идентификатор и рамочную антенну. Идентификатор передает код считывающему устройству на расстоянии до 80 см.

Наименее защищенными от фальсификации являются магнитные карты. Максимальную защищенность имеют смарт-карты. Карты «проксимити» очень удобны в эксплуатации.

Все атрибутивные идентификаторы обладают одним существенным недостатком. Идентификационный признак слабо или совсем не связан с личностью предъявителя.

Этого недостатка лишены методы биометрической идентификации. Они основаны на использовании индивидуальных биологических особенностей человека.

Для биометрической идентификации человека используются [51, 68]:

• папиллярные узоры пальцев;
• узоры сетчатки глаз;
• форма кисти руки;
• особенности речи;
• форма и размеры лица.
• динамика подписи;
• ритм работы на клавиатуре;
• запах тела;
• термические характеристики тела.

Дактилоскопический метод идентификации человека используется давно. Он показал высокую достоверность идентификации. Папиллярные узоры считываются с пальца специальным сканером. Полученные результаты сравниваются с данными, хранящимися в системе идентификации.

Для удешевления оборудования идентификация проводится с использованием не всех признаков. На вероятность ошибки влияют некоторые факторы, например, температура пальцев. Из отечественных разработок таких систем известны системы «Кордон», «Папилон», DALLAS BIO-95 [70].

По надежности и затратам времени метод идентификации по узорам сетчатки глаз сопоставим с дактилоскопическим методом [69]. С помощью высококачественной телекамеры осуществляется сканирование сетчатки глаза. Фиксируется угловое распределение кровеносных сосудов на поверхности сетчатки относительно слепого пятна глаза и других признаков. Всего насчитывается около 250 признаков. Оба метода доставляют субъектам доступа некоторый дискомфорт. Дактилоскопический метод у многих ассоциируется со снятием отпечатков пальцев у преступников. Метод сканирования сетчатки глаза доставляет неудобства, которые человек испытывает в процессе сканирования. Кроме того, метод идентификации по узору сетчатки глаза требует использования дорогостоящего оборудования.

Идентификация человека по форме кисти руки основана на анализе трехмерного изображения кисти. Метод менее надежен, устройство идентификации довольно громоздко. Вместе с тем метод технологичен и не требует хранения больших объемов информации.

Широкое распространение нашли способы идентификации человека по голосу и по параметрам лица. По надежности методы уступают методам идентификации по отпечаткам пальцев и узорам сетчатки глаза. Объясняется это значительно меньшей стабильностью параметров голоса и лица человека. Однако лучшие системы обеспечивают вероятность достоверной идентификации порядка 0,98, что позволяет использовать их на практике (Voice Bolt).

Системы идентификации по почерку анализируют графическое начертание, интенсивность нажатия и быстроту написания букв. Контрольное слово пишется на специальном планшете, который преобразует характеристики письма в электрические сигналы. Системы такого типа обеспечивают высокую надежность идентификации.

Идентификация по ритму работы на клавиатуре [38] основывается на измерении времени между последовательным нажатием двух клавиш. В системе хранятся результаты измерений на тестовом тексте, обработанные методами математической статистики. Идентификация производится путем набора, статистической обработки произвольного или фиксированного текста и сравнения с хранящимися данными. Метод обеспечивает высокую надежность идентификации. Это единственный биометрический метод идентификации, не требующий дополнительных аппаратных затрат, если он используется для допуска к работе на технических средствах, имеющих наборные устройства.

Методы идентификации по запаху и термическим характеристикам тела пока не нашли широкого применения.

Основным достоинством биометрических методов идентификации является очень высокая вероятность обнаружения попыток несанкционированного доступа. Но этим методам присущи два недостатка. Даже в лучших системах вероятность ошибочного отказа в доступе субъекту, имеющему право на доступ, составляет 0,01. Затраты на обеспечение биометрических методов доступа, как правило, превосходят затраты на организацию атрибутивных методов доступа.

Для повышения надежности аутентификации используются несколько идентификаторов.

Подсистема доступа на объект выполняет также функции регистрации субъектов доступа и управления доступом. Если на объекте реализована идентификация с использованием автоматизированной системы на базе ПЭВМ, то с ее помощью может вестись протокол пребывания сотрудников на объекте, в помещениях. Такая система позволяет осуществлять дистанционный контроль открывания дверей, ворот и т. п., а также оперативно изменять режим доступа сотрудников в помещения.

К средствам управления доступом можно отнести средства дистанционного управления замками, приводами дверей, ворот, турникетов и т. п.

5.1.5. Дежурная смена охраны

Состав дежурной смены, его экипировка, место размещения определяется статусом охраняемого объекта. Используя охранную сигнализацию, системы наблюдения и автоматизации доступа, дежурная смена охраны обеспечивает только санкционированный доступ на объект и в охраняемые помещения. Дежурная смена может находиться на объекте постоянно или прибывать на объект при получении сигналов тревоги от систем сигнализации и наблюдения.

5.2. Организация работ с конфиденциальными информационными ресурсами на объектах КС

Для противодействия таким угрозам как хищение документов, носителей информации, атрибутов систем защиты, а также изучение отходов носителей информации и создание неучтенных копий документов необходимо определить порядок учета, хранения, выдачи, работы и уничтожения носителей информации. Для обеспечения такой работы в учреждении могут создаваться специальные подразделения конфиденциального делопроизводства, либо вводиться штатные или нештатные должности сотрудников. Работа с конфиденциальными информационными ресурсами осуществляется в соответствии с законами РФ и ведомственными инструкциями. В каждой организации должны быть:

• разграничены полномочия должностных лиц по допуску их к информационным ресурсам;
• определены и оборудованы места хранения конфиденциальных информационных ресурсов и места работы с ними;
• установлен порядок учета, выдачи, работы и сдачи на хранение конфиденциальных информационных ресурсов;
• назначены ответственные лица с определением их полномочий и обязанностей;
• организован сбор и уничтожение ненужных документов и списанных машинных носителей;
• организован контроль над выполнением установленного порядка работы с конфиденциальными ресурсами.

5.3. Противодействие наблюдению в оптическом диапазоне

Наблюдение в оптическом диапазоне злоумышленником, находящимся за пределами объекта с КС, малоэффективно. С расстояния 50 метров даже совершенным длиннофокусным фотоаппаратом невозможно прочитать текст с документа или монитора. Так телеобъектив с фокусным расстоянием 300 мм обеспечивает разрешающую способность лишь 15 x 15 мм. Кроме того, угрозы такого типа легко парируются с помощью:

• использования оконных стекол с односторонней проводимостью света;
• применения штор и защитного окрашивания стекол;
• размещения рабочих столов, мониторов, табло и плакатов таким образом, чтобы они не просматривались через окна или открытые двери.

Для противодействия наблюдению в оптическом диапазоне злоумышленником, находящимся на объекте, необходимо, чтобы:

• двери помещений были закрытыми;
• расположение столов и мониторов ЭВМ исключало возможность наблюдения документов или выдаваемой информации на соседнем столе или мониторе;
• стенды с конфиденциальной информацией имели шторы.

5.4. Противодействие подслушиванию

Методы борьбы с подслушиванием можно разделить на два класса:

1. методы защиты речевой информации при передаче ее по каналам связи;
2. методы защиты от прослушивания акустических сигналов в помещениях.

Речевая информация, передаваемая по каналам связи, защищается от прослушивания (закрывается) с использованием методов аналогового скремблирования и дискретизации речи с последующим шифрованием [70].

Под скремблированием понимается изменение характеристик речевого сигнала таким образом, что полученный модулированный сигнал, обладая свойствами неразборчивости и неузнаваемости, занимает такую же полосу частот спектра, как и исходный открытый.

Обычно аналоговые скремблеры преобразуют исходный речевой сигнал путем изменения его частотных и временных характеристик.

Применяются несколько способов частотного преобразования сигнала:

• частотная инверсия спектра сигнала;
• частотная инверсия спектра сигнала со смещением несущей частоты;
• разделение полосы частот речевого сигнала на поддиапазоны с последующей перестановкой и инверсией.

Частотная инверсия спектра сигнала заключается в зеркальном отображении спектра исходного сигнала относительно выбранной частоты f₀ спектра. В результате низкие частоты преобразуются в высокие, и наоборот (рис. 6).

а) Исходный сигнал

б) Преобразованный сигнал

Рис. 6. Частотная инверсия сигнала

Такой способ скремблирования обеспечивает невысокий уровень защиты, так как частота f₀ легко определяется. Устройства, реализующие такой метод защиты, называют маскираторами.

Частотная инверсия спектра сигнала со смещением несущей частоты обеспечивает более высокую степень защиты.

Способ частотных перестановок заключается в разделении спектра исходного сигнала на поддиапазоны равной ширины (до 10-15 поддиапазонов) с последующим их перемешиванием в соответствии с некоторым алгоритмом.

Алгоритм зависит от ключа - некоторого числа (рис. 7).

а) Исходный сигнал

б) Преобразованный сигнал

Рис. 7. Частотная перестановка сигнала

При временном скремблировании квант речевой информации (кадр) перед отправлением запоминается и разбивается на сегменты одинаковой длительности. Сегменты перемешиваются аналогично частотным перестановкам (рис. 8). При приеме кадр подвергается обратному преобразованию.

а) Исходный сигнал

б) Преобразованный сигнал

Рис. 8. Временная перестановка

Комбинации временного и частотного скремблирования позволяют значительно повысить степень защиты речевой информации. За это приходится платить существенным повышением сложности скремблеров.

Дискретизация речевой информации с последующим шифрованием обеспечивает наивысшую степень защиты. В процессе дискретизации речевая информация представляется в цифровой форме. В таком виде она преобразуется в соответствии с выбранными алгоритмами шифрования, которые применяются для преобразования данных в КС. Методы шифрования подробно рассматриваются в гл. 9.

Удовлетворительное качество речевой информации, передаваемой в цифровом виде, обеспечивается при скорости передачи не ниже 64 кбит/с. Для снижения требований к каналам связи используются устройства кодирования речи (вокодеры). Спектр речевого сигнала изменяется относительно медленно. Это позволяет дискретно снимать характеристики сигнала, представлять их в цифровом виде и передавать по каналу связи. На приемной стороне вокодер по полученным характеристикам реализует один из алгоритмов синтеза речи. Наибольшее распространение получили вокодеры с линейным предсказанием речи. Такие вокодеры в процессе формирования речи реализуют кусочно-линейную аппроксимацию. Применение вокодеров позволяет снизить требования к скорости передачи данных до 2400 бит/с, а с некоторой потерей качества - до 800 бит/с.

Защита акустической информации в помещениях КС является важным направлением противодействия подслушиванию. Существует несколько методов защиты от прослушивания акустических сигналов:

• звукоизоляция и звукопоглощение акустического сигнала;
• зашумление помещений или твердой среды для маскировки акустических сигналов;
• защита от несанкционированной записи речевой информации на диктофон;
• обнаружение и изъятие закладных устройств.

Звукоизоляция обеспечивает локализацию источника звука в замкнутом пространстве. Звукоизоляционные свойства конструкций и элементов помещений оцениваются величиной ослабления акустической волны и выражаются в децибелах. Наиболее слабыми звукоизолирующими свойствами в помещениях обладают двери и окна. Для усиления звукопоглощения дверей применяются следующие приемы:

• устраняются зазоры и щели за счет использования уплотнителей по периметру дверей;
• двери покрываются дополнительными звукопоглощающими материалами;
• используются двойные двери с покрытием тамбуров звукопоглощающими материалами.

Звукоизоляция окон повышается следующими способами:

• использование штор;
• увеличение числа рядов стекол (ширина воздушного промежутка между стеклами должна быть не менее 200 мм);
• применение полиэфирных пленок (затрудняют прослушивание лазерным методом);
• использование специальных оконных блоков с созданием разрежения в межстекольном пространстве.

Звукопоглощение осуществляется путем преобразования кинетической энергии звуковой волны в тепловую энергию. Звукопоглощающие материалы используются для затруднения прослушивания через стены, потолок, воздуховоды вентиляции и кондиционирования воздуха, кабельные каналы и тому подобные элементы зданий. Звукопоглощающие материалы могут быть сплошными и пористыми (плиты минераловатные "Акмигран", "Силакпор", "Винипор"; звукопоглощающие облицовки из слоя пористо-волокнистого материала).

Активным методом защиты является зашумление помещений с помощью генераторов акустических сигналов (АД-23, WNG 023) [40]. Зашумление может быть эффективным, если генератор шума находится ближе к подслушивающему устройству, чем источник полезной акустической информации.

Более надежным способом защиты акустической информации является вибрационное зашумление (генераторы «Барон», «Заслон», «Кабинет») [44]. Шумы звукового диапазона создаются пьезокерамическими вибраторами в твердых телах, через которые злоумышленник пытается прослушивать помещение. Вибраторы приклеиваются к поверхности зашумляемого ограждения (окна, стены, потолки и т. д.) или твердотельного звукопровода (трубы водоснабжения и отопления). Один вибратор создает зашумление в радиусе 1,5-5 метров.

Для предотвращения несанкционированной записи речевой информации необходимо иметь средства обнаружения работающего диктофона и средств воздействия на него, в результате которого качество записи снижается ниже допустимого уровня.

Несанкционированная запись речевой информации осуществляется специальными диктофонами, в которых снижены демаскирующие признаки: бесшумная работа лентопротяжного механизма, отсутствуют генераторы подмагничивания и стирания, используются экранированные головки и т. п.

Наибольшую информативность имеет низкочастотное пульсирующее магнитное поле работающего электродвигателя. Слабое поле электродвигателя может быть обнаружено на небольшом расстоянии. Например, отечественная система PRTD 018 обнаруживает диктофон на расстоянии 1,5 метра от датчика, которых в этой системе насчитывается 16 штук [40]. Малое магнитное поле электродвигателя выделяется за счет изменения в месте расположения работающего диктофона параметров полей, создаваемых другими работающими приборами.

При выявлении работающего диктофона руководитель может принять одно из возможных решений:

• отменить переговоры, совещание и т. п.;
• не вести конфиденциальных разговоров;
• использовать средства, создающие помехи записи на диктофон речевой информации;

Устройства защиты от записи речевой информации с помощью диктофона воздействуют создаваемыми ими полями на усилители записи диктофонов. В результате такого воздействия качество записи ухудшается настолько, что невозможно разборчивое воспроизведение речи. Современные средства подавления записи класса («Рубеж», «Шумотрон», «УПД», «Буран») [44] действуют на расстоянии до 3 метров и способны непрерывно работать до 2 часов. Устройство «Буран-2» является мобильным и размещается в портфеле («дипломате»).

5.5. Средства борьбы с закладными подслушивающими устройствами

5.5.1. Средства радиоконтроля помещений

Поиск и нейтрализация закладных подслушивающих устройств усложняется многообразием их типов. Велик список и средств борьбы с закладками этого типа.

Средства борьбы с закладными подслушивающими устройствами делятся на:

• средства радиоконтроля помещений;
• средства поиска неизлучающих закладок;
• средства подавления закладных устройств.

Для осуществления радиоконтроля помещений - обнаружения радиоизлучающих закладок - применяются следующие типы устройств:

• индикаторы электромагнитного поля;
• бытовые радиоприемники;
• специальные радиоприемники;
• автоматизированные комплексы.

Индикаторы электромагнитного поля (ИПФ-4, D-008, «Оса») информируют о наличии электромагнитного поля выше фонового. Чувствительность таких устройств мала, и они способны обнаруживать поля радиозакладок в непосредственной близости от источника излучения (несколько метров).

Бытовые радиоприемники обладают большей чувствительностью, чем обнаружители поля. Основным недостатком бытовых приемников является узкий диапазон контролируемых частот.

Широко распространенным типом устройств обнаружения излучающих закладок является специальный приемник (IС-R10, АR-8000, МVТ-7200) [45]. Среди устройств этого типа наиболее перспективными являются радиоприемники с автоматическим сканированием радиодиапазона и излучателем тестового акустического сигнала. Встроенный микропроцессор обеспечивает поиск «своего» сигнала, т. е. сигнала, который выдает радиозакладки при получении тестового акустического сигнала. Специальные приемники позволяют контролировать диапазон частот от долей МГц до единиц ГГц. Сканирование всего диапазона частот занимает 3-4 минуты.

Наиболее совершенными средствами обнаружения радиозакладок являются автоматизированные аппаратно-программные комплексы. Основу таких комплексов составляют специальный радиоприемник и мобильная персональная ЭВМ. Такие комплексы хранят в памяти ПЭВМ уровни и частоты радиосигналов в контролируемом помещении и выявляют, при их наличии, закладки по изменению спектрограмм излучений. Автоматизированные комплексы определяют координаты радиозакладок и содержат, как правило, также блок контроля проводных линий. Все операции автоматизированы, поэтому такие комплексы являются многофункциональными и могут использоваться непрерывно. Лучшие образцы автоматизированных комплексов («Дельта», «Крона-6Н», АРК-ДЗ) обеспечивают точность пеленгации 2-8 градуса (точность измерения координат - до 10 см), измерение характеристик сигналов радиозакладок и могут контролировать до 12 помещений [45].

5.5.2. Средства поиска неизлучающих закладок

Для обнаружения неизлучающих закладок используются:

• средства контроля проводных линий;
• средства обнаружения элементов закладок.

Наиболее распространенными проводными линиями, по которым закладные устройства передают информацию, являются телефонные линии и линии электропитания, а также линии пожарной и охранной сигнализации, линии селекторной связи. Принцип работы аппаратуры контроля проводных линий основан на том, что любое подключение к ним вызывает изменение электрических параметров линий, таких как напряжение, ток, сопротивление, емкость и индуктивность. Аппаратура контроля устанавливает также наличие нештатных электрических сигналов в линии. Закладки могут подключаться к линиям параллельно и последовательно. При параллельном подключении и высоком входном сопротивлении закладок (>1,5 МОм) обнаружить их очень сложно [58]. Для повышения чувствительности средств контроля увеличивают число измеряемых параметров, вводят статистическую обработку результатов измерений (ССТО-1000). Некоторые устройства контроля (АПЛ-1, АТ-2, «Бор», Р5-8) позволяют определять длину участка проводной линии до закладки. Эти устройства используют свойство сигнала отражаться от неоднородностей, которые создаются в местах физического подключения.

Для выявления закладок, в том числе и находящихся в неработающем состоянии, используются следующие средства:

• устройства нелинейной локации;
• обнаружители пустот;
• металлодетекторы;
• рентгеновские установки.

В устройствах нелинейной локации [5] используются нелинейные свойства полупроводников. При облучении полупроводников высокочастотным электромагнитным излучением с частотой f₀ в отраженных волнах появляются гармоники с частотами, кратными f₀ - 2f₀, 3f₀ и т. д. Амплитуда отраженных волн резко уменьшается с ростом кратности частоты. На практике анализируются гармоники с частотами 2f₀ и 3f₀. Факт наличия отраженных волн с гармониками, кратными по частоте волне облучения, еще не доказывает наличие закладки с полупроводниковыми элементами. Подобные отраженные сигналы могут появляться при облучении, например, бетонных конструкций с находящимися внутри них ржавыми прутьями. Именно поэтому для повышения достоверности результатов локации и обеспечивается анализ двух гармоник с частотами 2f₀ и 3f₀. Нелинейные локаторы («Родник», «Обь», «Октава» «Циклон-М», «Super Broom») [5] обеспечивают дальность обнаружения полупроводниковых приборов до 3 метров при ошибке обнаружения координат, не превышающей единицы сантиметров. В строительных конструкциях глубина обнаружения закладок уменьшается (в бетоне - до 0,5 метра).

Для скрытого размещения закладок в элементах конструкций зданий, в мебели и других сплошных физических средах необходимо создать закамуфлированные углубления, отверстия и т. п. Такие изменения конструкций являются демаскирующим признаком закладки. Поэтому возможен косвенный поиск закладок путем поиска пустот в сплошных физических средах. При обнаружении пустот они могут быть обследованы более тщательно другими средствами контроля.

Пустоты в сплошных средах обнаруживаются с использованием устройств, принцип действия которых основывается на личных физических свойствах пустот:

• изменение характера распространения звука;
• отличие в значениях диэлектрической проницаемости;
• различие в теплопроводности среды и пустоты.

Пустоты обнаруживаются простым простукиванием сплошных сред. Для этой же цели используются ультразвуковые приборы. Электрическое поле деформируется пустотами за счет разницы диэлектрических свойств среды и пустоты. Это свойство электрического поля используется для поиска пустот. Пустоты обнаруживаются также по разнице температур с помощью тепловизоров. Такие приборы способны фиксировать разницу температур 0,05° С (тепловизионная система «Иртис-200») [36].

Принцип действия металлодетекторов основан на использовании свойств проводников взаимодействовать с внешним электрическим и магнитным полем. Любая закладка содержит проводники: резисторы, шины, корпус элементов питания и самой закладки и др.

При воздействии электромагнитного поля в проводниках объекта возникают вихревые токи. Поля, создаваемые этими токами, усиливаются и затем анализируются микропроцессором металлодетекторы. Расстояние, с которого обнаруживается объект, зависит от размеров проводника и типа металлодетектора. Так, прибор «Метокс МД311» обнаруживает диск диаметром 22 мм на расстоянии 140 см. [48].

Реже используются для поиска закладок переносные рентгеновские установки («Шмель-90/К», «Рона») [41]. Используются такие установки для контроля неразборных предметов.

5.5.3. Средства подавления закладных устройств

Обнаруженную закладку можно изъять, использовать для дезинформации или подавить. Под подавлением понимается такое воздействие на закладку, в результате которого она не способна выполнять возложенные на нее функции. Для подавления закладок используются:

• генераторы помех;
• средства нарушения функционирования закладок;
• средства разрушения закладок.

Генераторы используются для подавления сигналов закладок в линиях, так и для пространственного зашумления радиозакладок. Генераторы создают сигналы помех, перекрывающие по частоте диапазоны частот, на которых работают закладки. Амплитуда сигнала-помехи должна в несколько раз превышать амплитуду сигналов закладки.

Средства нарушения работы закладки воздействуют на закладку с целью изменения режимов ее работы, изменения условий функционирования. Например, устройство защиты телефонных линий УЗТ-02 генерирует сигнал помехи амплитудой 35 В, который приводит к искажению спектра сигнала, излучаемого закладкой, и снижению соотношения сигнал/шум на входе приемника злоумышленника. Другим примером применения средств нарушения работы закладки является воздействие помех, нарушающих работу устройств автоматической регулировки уровня записи и автоматического включения диктофона голосом.

Разрушение закладок без их изъятия осуществляется в линиях (телефонной, громкой связи, электропитания и т. п.) путем подачи коротких импульсов высокого напряжения (до 4000 В). Предварительно от линий отключаются все оконечные радиоэлектронные устройства.

5.6. Защита от злоумышленных действий обслуживающего персонала и пользователей

По статистике 80% случаев злоумышленных воздействий на информационные ресурсы совершаются людьми, имеющими непосредственное отношение к эксплуатации КС. Такие действия совершаются либо под воздействием преступных групп (разведывательных служб), либо побуждаются внутренними причинами (зависть, месть, корысть и т. п.). Для блокирования угроз такого типа руководство организации с помощью службы безопасности Должно осуществлять следующие организационные мероприятия:

• добывать всеми доступными законными путями информацию о своих сотрудниках, о людях или организациях, представляющих потенциальную угрозу информационным ресурсам;
• обеспечивать охрану сотрудников;
• устанавливать разграничение доступа к защищаемым ресурсам;
• контролировать выполнение установленных мер безопасности;
• создавать и поддерживать в коллективе здоровый нравственный климат.

Руководство должно владеть, по возможности, полной информацией об образе жизни своих сотрудников. Основное внимание при этом следует обращать на получение информации о ближайшем окружении, о соответствии легальных доходов и расходов, о наличии вредных привычек, об отрицательных чертах характера, о состоянии здоровья, о степени удовлетворенности профессиональной деятельностью и занимаемой должностью. Для получения такой информации используются сотрудники службы безопасности, психологи, руководящий состав учреждения. С этой же целью осуществляется взаимодействие с органами МВД и спецслужбами. Сбор информации необходимо вести, не нарушая законы и права личности.

Вне пределов объекта охраняются, как правило, только руководители и сотрудники, которым реально угрожает воздействие злоумышленников.

В организации, работающей с конфиденциальной информацией, обязательно разграничение доступа к информационным ресурсам. В случае предательства или других злоумышленных действий сотрудника ущерб должен быть ограничен рамками его компетенции. Сотрудники учреждения должны знать, что выполнение установленных правил контролируется руководством и службой безопасности.

Далеко не последнюю роль в парировании угроз данного типа играет нравственный климат в коллективе. В идеале каждый сотрудник является патриотом коллектива, дорожит своим местом, его инициатива и отличия ценятся руководством.

Контрольные вопросы

1. Приведите состав системы охраны объекта и охарактеризуйте защитные свойства инженерных конструкций.
2. Каковы состав, назначение и принцип действия элементов охранной сигнализации?
3. Охарактеризуйте подсистему доступа на объект.
4. Поясните принципы защиты речевой информации в каналах связи.
5. Перечислите и охарактеризуйте методы защиты от прослушивания акустических сигналов.
6. Охарактеризуйте средства борьбы с закладными подслушивающими устройствами.
7. Приведите мероприятия, проводимые для защиты от злоумышленных действий обслуживающего персонала.

ГЛАВА 6. Методы и средства защиты от электромагнитных излучений и наводок

6.1. Пассивные методы защиты от побочных электромагнитных излучений и наводок

Все методы защиты от электромагнитных излучений и наволок можно разделить на пассивные и активные.

Пассивные методы обеспечивают уменьшение уровня опасного сигнала или снижение информативности сигналов.

Активные методы защиты направлены на создание помех в каналах побочных электромагнитных излучений и наводок, затрудняющих прием и выделение полезной информации из перехваченных злоумышленником сигналов.

Для блокирования угрозы воздействия на электронные блоки и магнитные запоминающие устройства мощными внешними электромагнитными импульсами и высокочастотными излучениями, приводящими к неисправности электронных блоков и стирающими информацию с магнитных носителей информации, используется экранирование защищаемых средств.

Защита от побочных электромагнитных излучений и наводок осуществляется как пассивными, так и активными методами.

Пассивные методы защиты от ПЭМИН могут быть разбиты на три группы (рис. 9).

Рис. 9. Классификация пассивных методов защиты от ПЭМИН

6.1.1. Экранирование

Экранирование является одним из самых эффективных методов защиты от электромагнитных излучений. Под экранированием понимается размещение элементов КС, создающих электрические, магнитные и электромагнитные поля, в пространственно замкнутых конструкциях. Способы экранирования зависят от особенностей полей, создаваемых элементами КС при протекании в них электрического тока.

Характеристики полей зависят от параметров электрических сигналов в КС. Так при малых токах и высоких напряжениях в создаваемом поле преобладает электрическая составляющая. Такое поле называется электрическим (электростатическим). Если в проводнике протекает ток большой величины при малых значениях напряжения, то в поле преобладает магнитная составляющая, а поле называется магнитным. Поля, у которых электрическая и магнитная составляющие соизмеримы, называются электромагнитными.

В зависимости от типа создаваемого электромагнитного поля различают следующие виды экранирования:

• экранирование электрического поля;
• экранирование магнитного поля;
• экранирование электромагнитного поля.

Экранирование электрического поля, заземленным металлическим экраном обеспечивает нейтрализацию электрических зарядов, которые стекают по заземляющему контуру. Контур заземления должен иметь сопротивление не более 4 Ом. Электрическое поле может экранироваться и. с помощью диэлектрических экранов, имеющих высокую относительную диэлектрическую проницаемость ε. При этом поле ослабляется в ε раз [64].

При экранировании магнитных полей различают низкочастотные магнитные поля (до 10 кГц) и высокочастотные магнитные поля.

Низкочастотные магнитные поля шунтируются экраном за счет направленности силовых линий вдоль стенок экрана. Этот эффект вызывается большей магнитной проницаемостью материала экрана по сравнению с воздухом.

Высокочастотное магнитное поле вызывает возникновение в экране переменных индукционных вихревых токов, которые создаваемым ими магнитным полем препятствуют распространению побочного магнитного поля. Заземление не влияет на экранирование магнитных полей. Поглощающая способность экрана зависит от частоты побочного излучения и от материала, из которого изготавливается экран. Чем ниже частота излучения, тем большей должна быть толщина экрана. Для излучений в диапазоне средних волн и выше достаточно эффективным является экран толщиной 0,5-1,5 мм. Для излучений на частотах свыше 10 МГц достаточно иметь экран из меди или серебра толщиной 0,1 мм.

Электромагнитные излучения блокируются методами высокочастотного электрического и магнитного экранирования.

Экранирование осуществляется на пяти уровнях:

• уровень элементов схем;
• уровень блоков;
• уровень устройств;
• уровень кабельных линий;
• уровень помещений.

Элементы схем с высоким уровнем побочных излучений могут помещаться в металлические или металлизированные напылением заземленные корпуса. Начиная с уровня блоков, экранирование осуществляется с помощью конструкций из листовой стали, металлических сеток и напыления. Экранирование кабелей осуществляется с помощью металлической оплетки, стальных коробов или труб.

При экранировании помещений используются: листовая сталь толщиной до 2 мм, стальная (медная, латунная) сетка с ячейкой до 2,5 мм. В защищенных помещениях экранируются двери и окна. Окна экранируются сеткой, металлизированными шторами, металлизацией стекол и оклеиванием их токопроводящими пленками. Двери выполняются из стали или покрываются токопроводящими материалами (стальной лист, металлическая сетка). Особое внимание обращается на наличие электрического контакта токопроводящих слоев двери и стен по всему периметру дверного проема. При экранировании полей недопустимо наличие зазоров, щелей в экране. Размер ячейки сетки должен быть не более 0,1 длины волны излучения.

Выбор числа уровней и материалов экранирования осуществляется с учетом:

• характеристик излучения (тип, частота и мощность);
• требований к уровню излучения за пределами контролируемой зоны и размеров зоны;
• наличия или отсутствия других методов защиты от ПЭМИН;
• минимизации затрат на экранирование.

В защищенной ПЭВМ, например, экранируются блоки управления электронно-лучевой трубкой, корпус выполняется из стали или металлизируется изнутри, экран монитора покрывается токопроводящей заземленной пленкой и (или) защищается металлической сеткой.

Экранирование, помимо выполнения своей прямой функции защиты от ПЭМИН, значительно снижает вредное воздействие электромагнитных излучений на организм человека. Экранирование позволяет также уменьшить влияние электромагнитных шумов на работу устройств.

6.1.2. Снижение мощности излучений и наводок

Способы защиты от ПЭМИН, объединенные в эту группу, реализуются с целью снижения уровня излучения и взаимного влияния элементов КС.

К данной группе относятся следующие методы:

• изменение электрических схем;
• использование оптических каналов связи;
• изменение конструкции;
• использование фильтров;
• гальваническая развязка в системе питания.

Изменения электрических схем осуществляются для уменьшения мощности побочных излучений. Это достигается за счет использования элементов с меньшим излучением, уменьшения крутизны фронтов сигналов, предотвращения возникновения паразитной генерации, нарушения регулярности повторений информации.

Перспективным направлением борьбы с ПЭМИН является использование оптических каналов связи. Для передачи информации на большие расстояния успешно используются волоконно-оптические кабели. Передачу информации в пределах одного помещения (даже больших размеров) можно осуществлять с помощью беспроводных систем, использующих излучения в инфракрасном диапазоне. Оптические каналы связи не порождают ПЭМИН. Они обеспечивают высокую скорость передачи и не подвержены воздействию электромагнитных помех.

Изменения конструкции сводятся к изменению взаимного расположения отдельных узлов, блоков, кабелей, сокращению длины шин.

Использование фильтров [64] является одним из основных способов защиты от ПЭМИН. Фильтры устанавливаются как внутри устройств, систем для устранения распространения и возможного усиления наведенных побочных электромагнитных сигналов, так и на выходе из объектов линий связи, сигнализации и электропитания. Фильтры рассчитываются таким образом, чтобы они обеспечивали снижение сигналов в диапазоне побочных наводок до безопасного уровня и не вносили существенных искажений полезного сигнала.

Полностью исключается попадание побочных наведенных сигналов во внешнюю цепь электропитания при наличии генераторов питания, которые обеспечивают гальваническую развязку между первичной и вторичной цепями.

Использование генераторов позволяет также подавать во вторичную цепь электропитание с другими параметрами по сравнению с первичной цепью. Так, во вторичной цепи может быть изменена частота по сравнению с первичной цепью.

Генераторы питания, за счет инерционности механической части, позволяют сглаживать пульсации напряжения и кратковременные отключения в первичной цепи.

6.1.3. Снижение информативности сигналов

Снижение информативности сигналов ПЭМИН, затрудняющее их использование при перехвате, осуществляется следующими путями:

• специальные схемные решения;
• кодирование информации.

В качестве примеров специальных схемных решений можно привести такие, как замена последовательного кода параллельным, увеличение разрядности параллельных кодов, изменение очередности развертки строк на мониторе и т. п. Эти меры затрудняют процесс получения информации из перехваченного злоумышленником сигнала. Так, если в мониторе изображение формируется не за счет последовательной развертки строк, а по какому-то особому закону, то при перехвате электромагнитного поля и использовании стандартной развертки изображение на экране монитора злоумышленника не будет соответствовать исходному.

Для предотвращения утечки информации может использоваться кодирование информации, в том числе и криптографическое преобразование.

6.2. Активные методы защиты от ПЭМИН

Активные методы защиты от ПЭМИН предполагают применение генераторов шумов, различающихся принципами формирования маскирующих помех. В качестве маскирующих используются случайные помехи с нормальным законом распределения спектральной плотности мгновенных значений амплитуд (гауссовские помехи) и прицельные помехи, представляющие собой случайную последовательность сигналов помехи, идентичных побочным сигналам.

Используется пространственное и линейное зашумление. Пространственное зашумление осуществляется за счет излучения с помощью антенн электромагнитных сигналов в пространство. Применяется локальное пространственное зашумление для защиты конкретного элемента КС и объектовое пространственное зашумление для защиты от побочных электромагнитных излучений КС всего объекта. При локальном пространственном зашумлении используются прицельные помехи. Антенна находится рядом с защищаемым элементом КС. Объектовое пространственное зашумление осуществляется, как правило, несколькими генераторами со своими антеннами, что позволяет создавать помехи во всех диапазонах побочных электромагнитных излучений всех излучающих устройств объекта.

Пространственное зашумление должно обеспечивать невозможность выделения побочных излучений на фоне создаваемых помех во всех диапазонах излучения и, вместе с тем, уровень создаваемых помех не должен превышать санитарных норм и норм по электромагнитной совместимости радиоэлектронной аппаратуры.

При использовании линейного зашумления генераторы прицельных помех подключаются к токопроводящим линиям для создания в них электрических помех, которые не позволяют злоумышленникам выделять наведенные сигналы.

Контрольные вопросы

1. Дайте общую характеристику методам защиты от электромагнитных излучений.
2. Поясните сущность экранирования.
3. Чем достигается снижение мощности электромагнитных излучений и наводок?
4. Каким образом снижается информативность сигналов в КС?
5. Охарактеризуйте активные методы защиты от побочных электромагнитных излучений и наводок.

ГЛАВА 7. Методы защиты от несанкционированного изменения структур КС

7.1. Общие требования к защищенности КС от несанкционированного изменения структур

Несанкционированному изменению могут быть подвергнуты алгоритмическая, программная и техническая структуры КС на этапах ее разработки и эксплуатации. На этапе эксплуатации необходимо выделить работы по модернизации КС, представляющие повышенную опасность для безопасности информации.

Особенностью защиты от несанкционированного изменения структур (НИС) КС является универсальность методов, позволяющих наряду с умышленными воздействиями выявлять и блокировать непреднамеренные ошибки разработчиков и обслуживающего персонала, а также сбои и отказы аппаратных и программных средств. Обычно НИС КС, выполненные на этапе разработки и при модернизации системы, называют закладками.

Для парирования угроз данного класса на различных этапах жизненного цикла КС решаются различные задачи. На этапе разработки и при модернизации КС основной задачей является исключение ошибок и возможности внедрения закладок. На этапе эксплуатации выявляются закладки и ошибки, а также обеспечивается целостность, неизменность структур.

Разработке программных и аппаратных средств предшествует разработка алгоритмов. Ошибки и закладки, внесенные и не устраненные на этапе разработки алгоритмов, переходят в программы и оборудование, если не будут своевременно обнаружены.

При разработке алгоритмов, программ и аппаратных средств необходимо придерживаться основных принципов, которые являются общими:

• привлечение к разработке высококвалифицированных специалистов;
• использование иерархических структур;
• применение стандартных блоков;
• дублирование разработки;
• контроль адекватности;
• многослойная фильтрация;
• автоматизация разработки;
• контроль процесса разработки;
• сертификация готового продукта.

Особые требования предъявляются к квалификации специалистов, занятых разработкой технического задания и алгоритмов, осуществляющих контроль над ходом разработки, и привлекаемых к сертификации готовых продуктов.

Представление любой системы в виде иерархической блочной структуры позволяет представлять любой блок в виде черного ящика (рис. 10).

Рис. 10. Графическое представление блока

Блок осуществляет преобразование вектора X входных воздействий при наличии вектора внешних условий Z и с учетом состояния блока Y_t. Функциональное преобразование F(x, z, y_t) переводит блок в состояние, характеризуемое состоянием Y_t+1, где x X, z Z, y Y.

Блочная структура системы позволяет упростить контроль функционирования системы, использовать стандартные отлаженные и проверенные блоки, допускает параллельную разработку всех блоков и дублирование разработки.

Под дублированием разработки алгоритма программы или устройства понимается независимая (возможно разными организациями) разработка одного и того же блока. Сравнение блоков позволяет, во-первых, выявить ошибки и закладки, а во-вторых, выбрать наиболее эффективный блок.

Проверка адекватности функционирования алгоритма, программы, устройства реализуются путем моделирования процессов, использования упрощенных (усеченных) алгоритмов, решения обратной задачи (если она существует), а также с помощью тестирования.

Тестирование является универсальным средством проверки как адекватности, так и работоспособности блоков. Если число входных воздействий и внешних условий конечно и может быть задано при испытании блока за приемлемое для практики время, а также известны все требуемые реакции блока, то адекватность функционирования блока может быть однозначно подтверждена, т. е. в блоке полностью отсутствуют ошибки и закладки. Обнаружение ошибок и закладок тестированием осложняется тем, что мощность входного множества по оценкам специалистов может достигать 10⁷⁰ - 10¹⁰⁰ [19]. Поэтому для тестирования по всей области входных воздействий потребуется практически бесконечное время. В таких случаях используется вероятностный подход к выборке входных воздействий. Но такая проверка не может гарантировать отсутствия закладок и ошибок.

Принцип многослойной «фильтрации» предполагает поэтапное выявление ошибок и закладок определенного класса. Например, могут использоваться «фильтрующие» программные средства для выявления возможных «временных», «интервальных», «частотных» и других типов закладок.

Автоматизация процесса разработки существенно снижает возможности внедрения закладок. Это объясняется, прежде всего, наличием большого числа типовых решений, которые исполнитель изменить не может, формализованностью процесса разработки, возможностью автоматизированного контроля принимаемых решений.

Контроль установленного порядка разработки предполагает регулярный контроль над действиями исполнителей, поэтапный контроль алгоритмов, программ и устройств, приемо-сдаточные испытания.

Разработка защищенных КС и элементов для них завершается сертификацией готового продукта. Сертификация проводится в специальных лабораториях, оснащенных испытательными стендами, укомплектованных специалистами соответствующей квалификации и имеющих официальное разрешение (лицензию) на такой вид деятельности. В таких лабораториях по определенным методикам осуществляется проверка программных и аппаратных средств на отсутствие закладок, а также соответствие средств защиты информации их назначению.

7.2. Защита от закладок при разработке программ

7.2.1. Современные технологии программирования

Для разработки программных средств, свободных от ошибок и закладок, необходимо выполнение следующих условий:

• использование современных технологий программирования;
• наличие автоматизированной системы разработки;
• наличие автоматизированных контрольно-испытательных стендов;
• представление готовых программ на языках высокого уровня;
• наличие трансляторов для обнаружения закладок.

Современные технологии программирования предполагают высокую степень автоматизации процессов создания, отладки и тестирования программ. Применение стандартных модулей позволяет упростить процесс создания программ, поиска ошибок и закладок.

Одним из перспективных направлений создания программного обеспечения повышенной безопасности является использование объектно-ориентированного программирования, идущего на смену структурному программированию [19].

Применение объектно-ориентированного программирования (ООП) позволяет разделить фазы описания и фазы реализации абстрактных типов данных. Два выделенных модуля допускают раздельную компиляцию. В модуле описания задаются имена и типы внутренних защищенных и внешних данных, а также перечень процедур (методов) с описанием типов и количества параметров для них. В модуле реализации находятся собственно процедуры, обрабатывающие данные. Такое разделение повышает надежность программирования, так как доступ к внутренним данным возможен только с помощью процедур, перечисленных в модуле описания. Это позволяет определять большую часть ошибок в обработке абстрактного типа данных на этапе компиляции, а не на этапе выполнения. Анализ программных средств на наличие закладок облегчается, так как допустимые действия с абстрактными данными задаются в модуле описания, а не в теле процедур.

Одним из центральных понятий ООП является понятие «класс». С помощью этого понятия осуществляется связывание определенного типа данных с набором процедур и функций, которые могут манипулировать с этим типом данных.

Преимущество ООП заключается также в предоставлении возможности модификации функционирования, добавления новых свойств или уничтожении ненужных элементов, не изменяя того, что уже написано и отлажено. Пользователю достаточно определить объекты, принадлежащие уже созданным классам и посылать им сообщения. При этом контроль безопасности программного продукта сводится к анализу модулей описания классов. Если класс из библиотеки классов не удовлетворяет разработчика, то он может создать класс, производный от базового, произвести в нем необходимые изменения и работать с объектами полученного производного класса. Если данные и методы базового класса не должны быть доступны в производных классах, то их следует описать как внутренние.

Концепция ООП вынуждает разработчиков программных продуктов тщательно продумывать структуру данных класса и набор методов (процедур), которые необходимы для обработки этих данных. Получаемые программы представляют собой множество легко читаемых, само документируемых модулей описаний классов и множество модулей реализации тел методов. Такое представление программ упрощает их семантический анализ и контроль на наличие в них закладок.

7.2.2. Автоматизированная система разработки программных средств

Автоматизированная система создается на базе локальной вычислительной сети (ЛВС). В состав ЛВС входят рабочие станции программистов и сервер администратора [19]. Программисты имеют полный доступ только к информации своей ЭВМ и доступ к ЭВМ других программистов в режиме чтения. С рабочего места администратора возможен доступ в режиме чтения к любой ЭВМ разработчиков.

База данных алгоритмов разрабатываемого программного средства находится на сервере администратора и включает в себя архив утвержденных организацией-разработчиком и контролирующей организацией алгоритмов программного средства в виде блок-схем, описания на псевдокоде для их контроля администратором.

На сервере администратора располагается база данных листингов программ разрабатываемого программного средства, включающая в себя архив утвержденных организацией-разработчиком и контролирующей организацией программ для их контроля администратором с применением программ сравнения листингов и поиска измененных и добавленных участков программ.

На сервере администратора находится также база данных эталонных выполняемых модулей программ разрабатываемого программного средства для их контроля с применением программ поиска изменений в этих модулях.

Программы контроля версий листингов программ и сравнения выполняемых модулей должны быть разработаны организацией, не связанной ни с организацией-разработчиком, ни с контролирующей организацией и должны контролировать программы любого назначения.

Контроль за безопасностью разработки может осуществляться следующим образом.

Администратор в соответствии со своим графиком без уведомления разработчиков считывает в базы данных листинги программ и выполняемые модули. С помощью программ сравнения администратор выявляет и анализирует изменения, которые внесены разработчиком, по сравнению с последним контролем.

По мере разработки выполняемых модулей в базе администратора накапливаются готовые к сдаче заказчику эталонные образцы выполняемых модулей, сохранность которых контролируется администратором.

Применение такой организации работ позволяет администратору выявлять закладки и непреднамеренные ошибки на всех стадиях разработки программного средства. Администратор не может сам внедрить закладку, так как у него нет права на модификацию программ, разрабатываемых программистами.

7.2.3. Контрольно-испытательный стенд

Одним из наиболее эффективных путей обнаружения закладок и ошибок в разрабатываемых программных средствах является создание комплексного контрольно-испытательного стенда разрабатываемой системы. Он позволяет анализировать программные средства путем подачи многократных входных воздействий на фоне изменяющихся внешних факторов, с помощью которых имитируется воздействие возможных закладок. Таким образом, контрольно-испытательный стенд может рассматриваться как детальная имитационная модель разрабатываемой системы, позволяющая обеспечить всесторонний анализ функционирования разрабатываемого программного средства в условиях воздействия закладок.

Контрольно-испытательный стенд должен отвечать следующим требованиям [19]:

1. Стенд строится как открытая система, допускающая модернизацию и наращивание возможностей.
2. Стенд должен обеспечивать адекватность структуры и информационных потоков структуре и информационным потокам реальной системы.
3. Необходимо поддерживать взаимозаменяемость программных модулей модели и реальной системы.
4. Стенд должен позволять проводить как автономные испытания модулей, так и всего программного средства в целом.

Контрольно-испытательный стенд может содержать следующие модули (рис. 11):

Рис. 11. Структурная схема контрольно-испытательного стенда

• модель системы, которая состоит из моделей программных модулей и программных модулей реальной системы;
• модуль конфигурации модели системы, осуществляющий регистрацию и динамическое включение программных модулей реальной системы и моделей программных модулей из соответствующих баз данных;
• база данных моделей угроз - для накопления и модификации моделей угроз, представленных в формализованном виде;
• модуль формирования входных воздействий, учитывающий возможные угрозы, ограничения на входную информацию и результаты тестирования на предыдущем шаге;
• модель внешних воздействий, предназначенная для учета воздействий, внешних по отношению к моделируемой системе;
• модуль анализа результатов тестирования.

При разработке программных продуктов для обработки конфиденциальных данных готовые программы должны представляться на сертификацию в виде исходных программ на языках высокого уровня и в виде выполняемого модуля. Наличие программы на языке высокого уровня значительно упрощает процесс контроля программы на отсутствие закладок. На этом уровне программирования применяются стандартные подходы к разработке конструкций языка, как правило, не используются особенности конкретных аппаратных средств, на которых выполняется программа. При наличии транслятора, проверенного на отсутствие ошибок и закладок, из проверенной программы на языке высокого уровня легко получается выполняемый модуль, который сравнивается с представленным разработчиком выполняемым модулем. Проверка программных средств осуществляется с помощью специальных программ, которые позволяют автоматизировать анализ на ошибки и закладки. Они контролируют отсутствие скрытых входов в блоки («люков»), отсутствие тупиковых ветвей алгоритмов, выдают информацию о наличии операторов, блоков, назначение которых программе неизвестно. Особое внимание уделяется участкам программ, написанных на языках более низкого уровня, а также попыткам выполнения действий в обход операционной системы (если это допускает система программирования). Окончательное решение принимается программистом после тщательного анализа информации, полученной специальной программой контроля.

Выполняемые модули программных средств проверяются в процессе сертификации на специальных аппаратно-программных стендах, способных имитировать функционирование испытываемого программного средства на допустимом множестве входных и внешних воздействий. При контроле выполняется операция, обратная транслированию - дизассемблирование. Для упрощения анализа выполняемых модулей применяются также отладчики, программы-трассировщики, которые позволяют проконтролировать последовательность событий, порядок выполнения команд.

7.3. Защита от внедрения аппаратных закладок на этапе разработки и производства

Аппаратные закладки могут внедряться не только в процессе разработки и модернизации, но и в процессе серийного производства, транспортирования и хранения аппаратных средств.

Для защиты от внедрения аппаратных закладок, кроме следования общим принципам защиты, необходимо обеспечить всестороннюю проверку комплектующих изделий, поступающих к разработчику (производителю) извне.

Комплектующие изделия должны подвергаться тщательному осмотру и испытанию на специальных стендах. Испытания, по возможности, проводятся путем подачи всех возможных входных сигналов во всех допустимых режимах.

Если полный перебор всех комбинаций входных сигналов практически невозможен, то используются вероятностные методы контроля. Чаще всего вероятностное тестирование осуществляется путем получения комбинаций входных сигналов с помощью датчика случайных чисел и подачей этих сигналов на тестируемое и контрольное изделие. В качестве контрольного используется такое же изделие, как и тестируемое, но проверенное на отсутствие закладок, ошибок и отказов. Выходные сигналы обоих изделий сравниваются. Если они не совпадают, то принимается решение о замене тестируемого изделия.

При испытаниях изделий путем подачи детерминированных последовательностей входных сигналов и сравнения выходных сигналов с эталонами, часто используются методы сжатия выходных сигналов (данных). Это позволяет сократить объем памяти, необходимый для размещения эталонов выходных сигналов.

Для исследования неразборных конструкций (микросхем, конденсаторов, резисторов, печатных плат и др.) используются рентгеновские установки. При необходимости осуществляется послойное рентгеновское исследование изделий.

В процессе производства основное внимание уделяется автоматизации технологических процессов и контролю за соблюдением технологической дисциплины. Особо ответственные операции могут производиться под наблюдением должностных лиц с последующим документальным оформлением.

Этапы разработки, производства и модернизации аппаратных средств КС завершаются контролем на наличие конструктивных ошибок, производственного брака и закладок.

Блоки и устройства, успешно прошедшие контроль, хранятся и транспортируются таким образом, чтобы исключалась возможность внедрения закладок.

7.4. Защита от несанкционированного изменения структур КС в процессе эксплуатации

7.4.1. Разграничение доступа к оборудованию

При эксплуатации КС неизменность аппаратной и программной структур обеспечивается за счет предотвращения несанкционированного доступа к аппаратным и программным средствам, а также организацией постоянного контроля за целостностью этих средств.

Несанкционированный доступ к аппаратным и программным средствам может быть исключен или существенно затруднен при выполнении следующего комплекса мероприятий:

• охрана помещений, в которых находятся аппаратные средства КС;
• разграничение доступа к оборудованию;
• противодействие несанкционированному подключению оборудования;
• защита внутреннего монтажа, средств управления и коммутации от несанкционированного вмешательства;
• противодействие внедрению вредительских программ.

Методы и средства охраны помещений рассмотрены в гл. 5.

Под доступом к оборудованию понимается предоставление субъекту возможности выполнять определенные разрешенные ему действия с использованием указанного оборудования. Так, пользователю ЭВМ разрешается включать и выключать ЭВМ, работать с программами, вводить и выводить информацию. Обслуживающий персонал имеет право в установленном порядке тестировать ЭВМ, заменять и восстанавливать отказавшие блоки.

При организации доступа к оборудованию пользователей, операторов, администраторов выполняются следующие действия:

• идентификация и аутентификация субъекта доступа;
• разблокирование устройства;
• ведение журнала учета действий субъекта доступа.

Для идентификации субъекта доступа в КС чаще всего используются атрибутивные идентификаторы. Биометрическая идентификация проще всего осуществляется по ритму работы на клавиатуре. Из атрибутивных идентификаторов, как правило, используются:

• пароли;
• съемные носители информации;
• электронные жетоны;
• пластиковые карты (см. гл. 5);
• механические ключи.

Практически во всех КС, работающих с конфиденциальной информацией, аутентификация пользователей осуществляется с помощью паролей.

Паролем называют комбинацию символов (букв, цифр, специальных знаков), которая должна быть известна только владельцу пароля и, возможно, администратору системы безопасности.

После подачи питания на устройство пароль вводится субъектом доступа в систему с помощью штатной клавиатуры, пульта управления или специального наборного устройства, предназначенного только для ввода пароля. В КС, как правило, используется штатная клавиатура.

В современных операционных системах ПЭВМ заложена возможность использования пароля. Пароль хранится в специальной памяти, имеющей автономный источник питания. Сравнение паролей осуществляется до загрузки ОС. Защита считалась эффективной, если злоумышленник не имеет возможности отключить автономное питание памяти, в которой хранится пароль. Однако оказалось, что кроме пароля пользователя для загрузки ОС ПЭВМ можно использовать некоторые «технологические» пароли, перечень которых представлен в Internet [43].

В настоящее время разработаны средства защиты от несанкционированного доступа (НСД) к ПЭВМ, которые проверяют пароль до загрузки ОС. Для этого изменяются участки программ, осуществляющих загрузку ОС. Эти изменения позволяют прервать процесс загрузки до ввода правильного пароля.

При использовании паролей в момент загрузки ОС должно выполняться условие: в ЭВМ невозможно изменить установленный порядок загрузки ОС. Для этого жестко определяется ВЗУ, с которого осуществляется загрузка ОС. Желательно для этой цели использовать запоминающее устройство с несъемным носителем. Если загрузка ОС осуществляется со съемного носителя, то необходимо предусмотреть ряд дополнительных мер. Например, ВЗУ, с которого осуществляется загрузка ОС, настраивается таким образом, что оно может работать только с определенными носителями. В ПЭВМ это может быть достигнуто изменением порядка форматирования магнитных дисков. Отключение на время загрузки ОС всех ВЗУ, кроме выделенного для загрузки, осуществляется настройками программ загрузки ОС.

Необходимо также обеспечить режим загрузки ОС, исключающий ее прерывание и возможное вмешательство злоумышленника в процесс загрузки. В ПЭВМ это может быть реализовано блокированием клавиатуры и «мыши» до полного завершения загрузки ОС.

Идентификация субъекта доступа осуществляется средствами защиты и при загруженной ОС. Такой режим парольной защиты используется для организации многопользовательской работы на ЭВМ.

При организации парольной защиты необходимо выполнять следующие рекомендации:

1. Пароль должен запоминаться субъектом доступа. Запись пароля значительно повышает вероятность его компрометации (нарушение конфиденциальности).
2. Длина пароля должна исключать возможность его раскрытия путем подбора. Рекомендуется устанавливать длину пароля S ≥ 9 символов.
3. Пароли должны периодически меняться. Безопасное время использования пароля (Т_б) может быть рассчитано по формуле [54]:

где t - время, необходимое на ввод слова длиной s; s - длина пароля; А - количество символов, из которых может быть составлен пароль.

Время t определяется из соотношения:

t=Е/R,

где Е - число символов в сообщении, содержащем пароль; R -скорость передачи символов пароля (симв./мин.). Величина Е зависит от длины пароля и количества служебных символов.

В приведенной формуле расчета величины Тб считается, что злоумышленник имеет возможность непрерывно осуществлять подбор пароля. Если предусмотрена задержка в несколько секунд после неудачной попытки ввода пароля, то безопасное время значительно возрастает. Период смены пароля не должен превышать Тб. В любом случае использовать пароль свыше 1 года недопустимо.

4. В КС должны фиксироваться моменты времени успешного получения доступа и время неудачного ввода пароля. После трех ошибок подряд при вводе пароля устройство блокируется, и информация о предполагаемом факте подбора пароля поступает дежурному администратору системы безопасности.
5. Пароли должны храниться в КС таким образом, чтобы они были недоступны посторонним лицам. Этого можно достичь двумя способами:

• использовать для хранения паролей специальное запоминающее устройство, считанная информация из которого не попадает за пределы блока ЗУ (схема сравнения паролей находится в самом блоке). Запись в такое ЗУ осуществляется в специальном режиме;
• криптографическое преобразование пароля.

6. Пароль не выдается при вводе на экран монитора. Чтобы субъект доступа мог ориентироваться в количестве введенных символов на экран, взамен введенного выдается специальный символ (обычно звездочка).
7. Пароль должен легко запоминаться и в то же время быть сложным для отгадывания. Не рекомендуется использовать в качестве пароля имена, фамилии, даты рождения и т. п. Желательно при наборе пароля использование символов различных регистров, чередование букв, цифр, специальных символов. Очень эффективным является способ использования парадоксального сочетания слов («книга висит», «плот летит» и т.п.) и набора русских букв пароля на латинском регистре. В результате получается бессмысленный набор букв латинского алфавита.

В качестве идентификатора во многих КС используется съемный носитель информации, на котором записан идентификационный код субъекта доступа. В ПЭВМ для этой цели используется гибкий магнитный диск. Такой идентификатор обладает рядом достоинств:

• не требуется использовать дополнительные аппаратные средства;
• кроме идентификационного кода, на носителе может храниться другая информация, используемая для аутентификации, контроля целостности информации, атрибуты шифрования и т. д.

Для идентификации пользователей широко используются электронные жетоны-генераторы случайных идентификационных кодов [18]. Жетон - это прибор, вырабатывающий псевдослучайную буквенно-цифровую последовательность (слово). Это слово меняется примерно раз в минуту синхронно со сменой такого же слова в КС. В результате вырабатывается одноразовый пароль, который годится для использования только в определенный промежуток времени и только для однократного входа в систему. Первый такой жетон SecurID американской фирмы Security Dynamics появился в 1987 году.

Жетон другого типа внешне напоминает калькулятор. В процессе аутентификации КС выдает на монитор пользователя цифровую последовательность запроса, пользователь набирает ее на клавиатуре жетона. Жетон формирует ответную последовательность, которую пользователь считывает с индикатора жетона и вводит в КС. В результате опять получается одноразовый неповторяющийся пароль. Без жетона войти в систему оказывается невозможным. Вдобавок ко всему, прежде чем воспользоваться жетоном, нужно ввести в него свой личный пароль.

Атрибутивные идентификаторы (кроме паролей) могут использоваться только на момент доступа и регистрации, или постоянно должны быть подключены к устройству считывания до окончания работы. На время даже кратковременного отсутствия идентификатор изымается, и доступ к устройству блокируется. Такие аппаратно-программные устройства способны решать задачи не только разграничения доступа к устройствам, но и обеспечивают защиту от НСДИ. Принцип действия таких устройств основан на расширении функций ОС на аппаратном уровне.

Процесс аутентификации может включать также диалог субъекта доступа с КС. Субъекту доступа задаются вопросы, ответы на которые анализируются, и делается окончательное заключение о подлинности субъекта доступа.

В качестве простого идентификатора часто используют механические ключи. Механический замок может быть совмещен с блоком подачи питания на устройство. На замок может закрываться крышка, под которой находятся основные органы управления устройством. Без вскрытия крышки невозможна работа с устройством. Наличие такого замка является дополнительным препятствием на пути злоумышленника при попытке осуществить НСД к устройству.

Доступ к устройствам КС объекта может блокироваться дистанционно. Так в ЛВС подключение к сети рабочей станции может блокироваться с рабочего места администратора. Управлять доступом к устройствам можно и с помощью такого простого, но эффективного способа, как отключение питания. В нерабочее время питание может отключаться с помощью коммутационных устройств, контролируемых охраной.

Комплекс мер и средств управления доступом к устройствам должен выполнять и функцию автоматической регистрации действий субъекта доступа. Журнал регистрации событий может вестись как на автономной ЭВМ, так и в сети. Периодически или при фиксации нарушений протоколов доступа, администратор просматривает журнал регистрации с целью контроля действий субъектов доступа.

Организация доступа обслуживающего персонала к устройствам отличается от организации доступа пользователей. Прежде всего, по возможности, устройство освобождается от конфиденциальной информации и осуществляется отключение информационных связей. Техническое обслуживание и восстановление работоспособности устройств выполняются под контролем должностных лиц. Особое внимание обращается на работы, связанные с доступом к внутреннему монтажу и заменой блоков.

7.4.2. Противодействие несанкционированному подключению устройств

Одним из возможных путей несанкционированного изменения технической структуры КС является подключение незарегистрированных устройств или замена ими штатных средств КС.

Для парирования такой угрозы используются следующие методы:

• проверка особенностей устройства;
• использование идентификаторов устройств.

В запоминающих устройствах КС, как правило, содержится информация о конфигурации системы. К такой информации относятся: типы устройств (блоков) и их характеристики, количество и особенности подключения внешних устройств, режимы работы и другая информация. Конкретный состав особенностей конфигурации определяется типом КС и ОС. В любом случае, с помощью программных средств может быть организован сбор и сравнение информации о конфигурации КС. Если ЭВМ работает в сети, то, по крайней мере, при подключении к сети осуществляется контроль конфигурации ЭВМ.

Еще более надежным и оперативным методом контроля является использование специального кода-идентификатора устройства. Этот код может генерироваться аппаратными средствами, а может храниться в ЗУ. Генератор может инициировать выдачу в контролирующее устройство (в вычислительной сети это может быть рабочее место администратора) уникального номера устройства. Код из ЗУ может периодически считываться и анализироваться средствами администратора КС. Комплексное использование методов анализа особенностей конфигурации и использование идентификаторов устройств значительно повышают вероятность обнаружения попыток несанкционированного подключения или подмены.

7.4.3. Защита внутреннего монтажа, средств управления и коммутации от несанкционированного вмешательства

Для защиты от несанкционированных действий по изменению монтажа, замене элементов, переключению коммутирующих устройств необходимо выполнить условия:

• доступ к внутреннему монтажу, к органам управления и коммутации устройств блокируется имеющими замок дверями, крышками, защитными экранами и т. п.;
• наличие автоматизированного контроля вскрытия аппаратуры.

Создание физических препятствий на пути злоумышленника должно предусматриваться на этапе проектирования. Эти конструкции не должны создавать существенных неудобств при эксплуатации устройств.

Например, крышки и защитные экраны, защищающие наборные устройства, тумблеры, переключатели и т. п. желательно изготавливать из прозрачного и прочного материала, позволяющего контролировать состояние органов управления без снятия (открывания) защитных конструкций.

Контроль вскрытия аппаратуры обеспечивается за счет использования несложных электрических схем, аналогичных системам охранной сигнализации. Контроль вскрытия обеспечивается путем использования датчиков контактного типа. Они устанавливаются на всех съемных и открывающихся конструкциях, через которые возможен доступ к внутреннему монтажу устройств, элементам управления и коммутации. Датчики объединяются в единую систему контроля вскрытия устройств (СКВУ) с помощью проводных линий. Известно множество вариантов объединения датчиков в систему [28]. При построении таких систем решаются две взаимосвязанные задачи: обеспечение максимальной информативности системы и минимизация числа проводных линий. Максимум информативности автоматизированной СКВУ достигается в системах, позволяющих определить факт вскрытия конкретной защитной конструкции на определенном устройстве. Однако во многих случаях достаточно получить дежурному администратору системы безопасности сигнал о вскрытии устройства, чтобы принять адекватные меры. Конкретное нарушение внешней целостности устройства определяется на месте. Этому может способствовать контроль целостности специальных защитных знаков на защитных конструкциях [12]. Специальные защитные знаки реализуются в виде материалов, веществ, самоклеющихся лент, наклеек, самоклеющихся пломб. Целостность специальных защитных знаков определяется по внешнему виду и определенным признакам, которые могут контролироваться с применением технических средств. Специальные защитные средства на защитных конструкциях служат дополнительным индикатором вскрытия. Периодический контроль целостности специальных защитных средств позволяет (хотя бы с некоторым опозданием) выявить нарушение внешней целостности устройства при отсутствии или обходе злоумышленником аппаратных средств СКВУ.

Если разрешающая способность СКВУ ограничивается устройством, то существенно сокращается число проводных линий.

В этом случае датчики с нормально замкнутыми контактами всех защитных конструкций устройства соединяются последовательно.

По возможности проводные линии СКВУ желательно маскировать под линии информационных трактов устройств.

Факт снятия разъема может быть легко зафиксирован. Для этого достаточно выделить один контакт разъема на цели контроля. При снятии разъема линия СКВУ разрывается.

7.4.4. Контроль целостности программной структуры в процессе эксплуатации

Контроль целостности программ и данных выполняется одними и теми же методами. Исполняемые программы изменяются крайне редко на этапе их эксплуатации. Существует достаточно широкий класс программ, для которых все исходные данные или их часть также изменяются редко. Поэтому контроль целостности таких файлов выполняется так же, как и контроль программ.

Контроль целостности программных средств и данных осуществляется путем получения (вычисления) характеристик и сравнения их с контрольными характеристиками. Контрольные характеристики вычисляются при каждом изменении соответствующего файла. Характеристики вычисляются по определенным алгоритмам. Наиболее простым алгоритмом является контрольное суммирование. Контролируемый файл в двоичном виде разбивается на слова, обычно состоящие из четного числа байт. Все двоичные слова поразрядно суммируются с накоплением по mod2, образуя в результате контрольную сумму. Разрядность контрольной суммы равняется разрядности двоичного слова. Алгоритм получения контрольной суммы может отличаться от приведенного, но, как правило, не является сложным и может быть получен по имеющейся контрольной сумме и соответствующему файлу.

Другой подход к получению характеристик целостности связан с использованием циклических кодов [63]. Суть метода состоит в следующем. Исходная двоичная последовательность представляется в виде полинома F(x) степени n-1, где n - число бит последовательности. Для выбранного порождающего полинома P(x) можно записать равенство:

где m - степень порождающего полинома, G(x) - частное, а R(x) - остаток от деления F(x)∙x^m на Р(x).

Из приведенного соотношения можно получить новое выражение:

Из последнего выражения можно сделать вывод: если исходный полином увеличить на х^m (сдвинуть в сторону старших разрядов на m разрядов) и сложить с остатком R(х) по модулю 2, то полученный многочлен разделится без остатка на порождающий полином Р(х).

При контроле целостности информации контролируемая последовательность (сектор на диске, файл и т. д.), сдвинутая на m разрядов, делится на выбранный порождающий полином, и запоминается полученный остаток, который называют синдромом. Синдром хранится как эталон. При контроле целостности к полиному контролируемой последовательности добавляется синдром и осуществляется деление на порождающий полином. Если остаток от деления равен нулю, то считается, что целостность контролируемой последовательности не нарушена. Обнаруживающая способность метода зависит от степени порождающего полинома и не зависит от длины контролируемой последовательности. Чем выше степень полинома, тем выше вероятность определения изменений d, которая определяется из соотношения: d =1/2^m.

Использование контрольных сумм и циклических кодов, как и других подобных методов, имеет существенный недостаток. Алгоритм получения контрольных характеристик хорошо известен, и поэтому злоумышленник может произвести изменения таким образом, чтобы контрольная характеристика не изменилась (например, добавив коды).

Задача злоумышленника усложнится, если использовать переменную длину двоичной последовательности при подсчете контрольной характеристики, а характеристику хранить в зашифрованном виде или вне КС (например, в ЗУ Touch Memory).

Рассмотрим пример использования циклических кодов для контроля целостности двоичной последовательности.

Пусть требуется проконтролировать целостность двоичной последовательности А=1010010. Используется порождаемый полином вида: Р(х)=х³+х+1.

А. Получение контрольной характеристики.

G_А(х) = 1∙х⁶+0∙х⁵+1∙х⁴+0∙х³+0∙х²+1∙х¹+0∙х⁰ = x⁶+х⁴+х.

G_A(х)∙х³ = х⁹+х⁷+х⁴.

При вычислении синдрома R_A(х) действия выполняются по правилам деления полиномов, заменяя операцию вычитания операцией сложения по модулю:

Двоичная последовательность с синдромом имеет вид:

А' = 1010010011 (синдром подчеркнут). Последовательность А' хранится и(или) передается в КС.

Б. Контроль целостности информации.

Если изменений последовательности А' = 1010010011 не произошло, то соответствующий ей полином должен разделиться на порождающий полином без остатка:

Результат произведенных вычислений свидетельствует о целостности информации.

Если синдром отличен от нуля, то это означает, что произошла ошибка при хранении (передаче) двоичной последовательности. Ошибка определяется и в контрольных разрядах (в синдроме).

Существует метод, который позволяет практически исключить возможность неконтролируемого изменения информации в КС. Для этого необходимо использовать хэш-функцию. Под хэш-функцией понимается процедура получения контрольной характеристики двоичной последовательности, основанная на контрольном суммировании и криптографических преобразованиях. Алгоритм хэш-функции приведен в ГОСТ Р34.11-94. Алгоритм не является секретным, так же как и алгоритм используемого при получении хэш-функции криптографического преобразования, изложенного в ГОСТ 28147-89 [9].

Исходными данными для вычисления хэш-функции являются исходная двоичная последовательность и стартовый вектор хеширования. Стартовый вектор хеширования представляет собой двоичную последовательность длиной 256 бит. Он должен быть недоступен злоумышленнику. Вектор либо подвергается зашифрованию, либо хранится вне КС.

Итерационный процесс вычисления хэш-функции Н предусматривает:

• генерацию четырех ключей (слов длиной 256 бит);
• шифрующее преобразование с помощью ключей текущего значения Н методом простой замены (ГОСТ 28147-89);
• перемешивание результатов;
• поразрядное суммирование по mod2 слов длиной 256 бит исходной последовательности;
• вычисление функции Н.

В результате получается хэш-функция длиной 256 бит. Значение хэш-функции можно хранить вместе с контролируемой информацией, т. к., не имея стартового вектора хеширования, злоумышленник не может получить новую правильную функцию хеширования после внесения изменений в исходную последовательность. А получить стартовый вектор по функции хеширования практически невозможно.

Для каждой двоичной последовательности используются две контрольные характеристики: стартовый вектор и хэш-функция. При контроле по стартовому вектору и контролируемой последовательности вычисляется значение хэш-функции и сравнивается с контрольным значением.

Контрольные вопросы

1. Назовите основные принципы разработки алгоритмов, программ и технических средств.
2. В чем заключается суть современных технологий программирования?
3. Дайте характеристику автоматизированной системы разработки программных средств.
4. Каким образом достигается защита от несанкционированного изменения структур КС на этапах разработки и эксплуатации?
5. Как осуществляется контроль целостности информации?

ГЛАВА 8. Защита информации в КС от несанкционированного доступа

Для осуществления НСДИ злоумышленник не применяет никаких аппаратных или программных средств, не входящих в состав КС. Он осуществляет НСДИ, используя:

• знания о КС и умения работать с ней;
• сведения о системе защиты информации;
• сбои, отказы технических и программных средств;
• ошибки, небрежность обслуживающего персонала и пользователей.

Для защиты информации от НСД создается система разграничения доступа к информации. Получить несанкционированный доступ к информации при наличии системы разграничения доступа (СРД) возможно только при сбоях и отказах КС, а также используя слабые места в комплексной системе защиты информации. Чтобы использовать слабости в системе защиты, злоумышленник должен знать о них.

Одним из путей добывания информации о недостатках системы защиты является изучение механизмов защиты. Злоумышленник может тестировать систему защиты путем непосредственного контакта с ней. В этом случае велика вероятность обнаружения системой защиты попыток ее тестирования. В результате этого службой безопасности могут быть предприняты дополнительные меры защиты.

Гораздо более привлекательным для злоумышленника является другой подход. Сначала получается копия программного средства системы защиты или техническое средство защиты, а затем производится их исследование в лабораторных условиях. Кроме того, создание неучтенных копий на съемных носителях информации является одним из распространенных и удобных способов хищения информации. Этим способом осуществляется несанкционированное тиражирование программ. Скрытно получить техническое средство защиты для исследования гораздо сложнее, чем программное, и такая угроза блокируется средствами и методами обеспечивающими целостность технической структуры КС.

Для блокирования несанкционированного исследования и копирования информации КС используется комплекс средств и мер защиты, которые объединяются в систему защиты от исследования и копирования информации (СЗИК).

Таким образом, СРД и СЗИК могут рассматриваться как подсистемы системы защиты от НСДИ.

8.1. Система разграничения доступа к информации в КС

8.1.1. Управление доступом

Исходной информацией для создания СРД является решение владельца (администратора) КС о допуске пользователей к определенным информационным ресурсам КС. Так как информация в КС хранится, обрабатывается и передается файлами (частями файлов), то доступ к информации регламентируется на уровне файлов (объектов доступа). Сложнее организуется доступ в базах данных, в которых он может регламентироваться к отдельным ее частям по определенным правилам. При определении полномочий доступа администратор устанавливает операции, которые разрешено выполнять пользователю (субъекту доступа).

Различают следующие операции с файлами:

• чтение (R);
• запись;
• выполнение программ (Е).

Операция записи в файл имеет две модификации. Субъекту доступа может быть дано право осуществлять запись с изменением содержимого файла (W). Другая организация доступа предполагает разрешение только дописывания в файл, без изменения старого содержимого (А).

В КС нашли применение два подхода к организации разграничения доступа [6]:

• матричный;
• полномочный (мандатный).

Матричное управление доступом предполагает использование матриц доступа. Матрица доступа представляет собой таблицу, в которой объекту доступа соответствует столбец О_j, а субъекту доступа - строка S_i. На пересечении столбцов и строк записываются операция или операции, которые допускается выполнять субъекту доступа i с объектом доступа j (рис. 12).

Рис. 12. Матрица доступа

Матричное управление доступом позволяет с максимальной детализацией установить права субъекта доступа по выполнению разрешенных операций над объектами доступа. Такой подход нагляден и легко реализуем. Однако в реальных системах из-за большого количества субъектов и объектов доступа матрица доступа достигает таких размеров, при которых сложно поддерживать ее в адекватном состоянии.

Полномочный или мандатный метод базируется на многоуровневой модели защиты. Такой подход построен по аналогии с «ручным» конфиденциальным (секретным) делопроизводством. Документу присваивается уровень конфиденциальности (гриф секретности), а также могут присваиваться метки, отражающие категории конфиденциальности (секретности) документа. Таким образом, конфиденциальный документ имеет гриф конфиденциальности (конфиденциально, строго конфиденциально, секретно, совершенно секретно и т. д.) и может иметь одну или несколько меток, которые уточняют категории лиц, допущенных к этому документу («для руководящего состава», «для инженерно-технического состава» и т. д.). Субъектам доступа устанавливается уровень допуска, определяющего максимальный для данного субъекта уровень конфиденциальности документа, к которому разрешается допуск. Субъекту доступа устанавливаются также категории, которые связаны с метками документа.

Правило разграничения доступа заключается в следующем: лицо допускается к работе с документом только в том случае, если уровень допуска субъекта доступа равен или выше уровня конфиденциальности документа, а в наборе категорий, присвоенных данному субъекту доступа, содержатся все категории, определенные для данного документа.

В КС все права субъекта доступа фиксируются в его мандате. Объекты доступа содержат метки, в которых записаны признаки конфиденциальности. Права доступа каждого субъекта и характеристики конфиденциальности каждого объекта отображаются в виде совокупности уровня конфиденциальности и набора категорий конфиденциальности.

Мандатное управление позволяет упростить процесс регулирования доступа, так как при создании нового объекта достаточно создать его метку. Однако при таком управлении приходится завышать конфиденциальность информации из-за невозможности детального разграничения доступа.

Если право установления правил доступа к объекту предоставляется владельцу объекта (или его доверенному лицу), то такой метод контроля доступа к информации называется дискреционным.

8.1.2. Состав системы разграничения доступа

Система разграничения доступа к информации должна содержать четыре функциональных блока:

• блок идентификации и аутентификации субъектов доступа;
• диспетчер доступа;
• блок криптографического преобразования информации при ее хранении и передаче;
• блок очистки памяти.

Идентификация и аутентификация субъектов осуществляется в момент их доступа к устройствам, в том числе и дистанционного доступа.

Диспетчер доступа реализуется в виде аппаратно-программных механизмов (рис .13) и обеспечивает необходимую дисциплину разграничения доступа субъектов к объектам доступа (в том числе и к аппаратным блокам, узлам, устройствам). Диспетчер доступа разграничивает доступ к внутренним ресурсам КС субъектов, уже получивших доступ к этим системам. Необходимость использования диспетчера доступа возникает только в многопользовательских КС.

Рис. 13. Диспетчер доступа

Запрос на доступ i-го субъекта и j-му объекту поступает в блок управления базой полномочий и характеристик доступа и в блок регистрации событий. Полномочия субъекта и характеристики объекта доступа анализируются в блоке принятия решения, который выдает сигнал разрешения выполнения запроса, либо сигнал отказа в допуске. Если число попыток субъекта допуска получить доступ к запрещенным для него объектам превысит определенную границу (обычно 3 раза), то блок принятия решения на основании данных блока регистрации выдает сигнал «НСДИ» администратору системы безопасности. Администратор может блокировать работу субъекта, нарушающего правила доступа в системе, и выяснить причину нарушений. Кроме преднамеренных попыток НСДИ диспетчер фиксирует нарушения правил разграничения, явившихся следствием отказов, сбоев аппаратных и программных средств, а также вызванных ошибками персонала и пользователей.

Следует отметить, что в распределенных КС криптографическое закрытие информации является надежным единственным способом защиты от НСДИ. Сущность криптографического закрытия информации изложена в главе 9.

В СРД должна быть реализована функция очистки оперативной памяти и рабочих областей на внешних запоминающих устройствах после завершения выполнения программы, обрабатывающей конфиденциальные данные. Причем очистка должна производиться путем записи в освободившиеся участки памяти определенной последовательности двоичных кодов, а не удалением только учетной информации о файлах из таблиц ОС, как это делается при стандартном удалении средствами ОС.

8.1.3. Концепция построения систем разграничения доступа

В основе построения СРД лежит концепция разработки защищенной универсальной ОС на базе ядра безопасности [6]. Под ядром безопасности понимают локализованную, минимизированную, четко ограниченную и надежно изолированную совокупность программно-аппаратных механизмов, доказательно правильно реализующих функции диспетчера доступа [29]. Правильность функционирования ядра безопасности доказывается путем полной формальной верификации его программ и пошаговым доказательством их соответствия выбранной математической модели защиты.

Применение ядра безопасности требует провести изменения ОС и архитектуры ЭВМ. Ограничение размеров и сложности ядра необходимо для обеспечения его верифицируемости.

Для аппаратной поддержки защиты и изоляции ядра в архитектуре ЭВМ должны быть предусмотрены:

• многоуровневый режим выполнения команд;
• использование ключей защиты и сегментирование памяти;
• реализация механизма виртуальной памяти с разделением адресных пространств;
• аппаратная реализация части функций ОС;
• хранение программ ядра в постоянном запоминающем устройстве (ПЗУ);
• использование новых архитектур ЭВМ, отличных от фон-неймановской архитектуры (архитектуры с реализацией абстрактных типов данных, теговые архитектуры с привилегиями и др.).

Обеспечение многоуровневого режима выполнения команд является главным условием создания ядра безопасности. Таких уровней должно быть не менее двух. Часть машинных команд ЭВМ должна выполняться только в режиме работы ОС. Основной проблемой создания высокоэффективной защиты от НСД является предотвращение несанкционированного перехода пользовательских процессов в привилегированное состояние. Для современных сложных ОС практически нет доказательств отсутствия возможности несанкционированного получения пользовательскими программами статуса программ ОС.

Использование ключей защиты, сегментирование памяти и применение механизма виртуальной памяти предусматривает аппаратную поддержку концепции изоляции областей памяти при работе ЭВМ в мультипрограммных режимах. Эти механизмы служат основой для организации работы ЭВМ в режиме виртуальных машин. Режим виртуальных машин позволяет создать наибольшую изолированность пользователей, допуская использование даже различных ОС пользователями в режиме разделения времени.

Аппаратная реализация наиболее ответственных функций ОС и хранение программ ядра в ПЗУ существенно повышают изолированность ядра, его устойчивость к попыткам модификации. Аппаратно должны быть реализованы прежде всего функции идентификации и аутентификации субъектов доступа, хранения атрибутов системы защиты, поддержки криптографического закрытия информации, обработки сбоев и отказов и некоторые другие.

Универсальные ЭВМ и их ОС, используемые ранее, практически не имели встроенных механизмов защиты от НСД. Такие распространенные ОС как IВМ System/370, МS-DОS и целый ряд других ОС не имели встроенных средств идентификации и аутентификации и разграничения доступа. Более современные универсальные ОС UNIХ, VАХ/VМS, Solaris и др. имеют встроенные механизмы разграничения доступа и аутентификации. Однако возможности этих встроенных функций ограничены и не могут удовлетворять требованиям, предъявляемым к защищенным ЭВМ.

Имеется два пути получения защищенных от НСД КС:

• создание специализированных КС;
• оснащение универсальных КС дополнительными средствами защиты.

Первый путь построения защищенных КС пока еще не получил широкого распространения в связи с нерешенностью целого ряда проблем. Основной из них является отсутствие эффективных методов разработки доказательно корректных аппаратных и программных средств сложных систем. Среди немногих примеров специализированных ЭВМ можно назвать систему SСОМР фирмы «Ноnеуwеll», предназначенную для использования в центрах коммутации вычислительных сетей, обрабатывающих секретную информацию. Система разработана на базе концепции ядра безопасности. Узкая специализация позволила создать защищенную систему, обеспечивающую требуемую эффективность функционирования по прямому назначению.

Чаще всего защита КС от НСД осуществляется путем использования дополнительных программных или аппаратно-программных средств. Программные средства RACF, SECURC, ТОРSЕСRЕТ и другие использовались для защиты ЭВМ типа IBM-370.

В настоящее время появились десятки отдельных программ, программных и аппаратных комплексов, рассчитанных на защиту персональных ЭВМ от несанкционированного доступа к ЭВМ, которые разграничивают доступ к информации и устройствам ПЭВМ.

8.1.4. Современные системы защиты ПЭВМ от несанкционированного доступа к информации

В качестве примеров отдельных программ, повышающих защищенность КС от НСД, можно привести утилиты из пакета Norton Utilities, такие как программа шифрования информации при записи на диск Diskreet или Secret disk, программа стирания информации с диска WipeInfo, программа контроля обращения к дискам DiskMonitor и др. [32].

Отечественными разработчиками предлагаются программные системы защиты ПЭВМ «Снег-1.0», «Кобра», «Страж-1.1» и др. В качестве примеров отечественных аппаратно-программных средств защиты, имеющих сертификат Гостехкомиссии, можно привести системы «Аккорд-4», «DALLAS LОСК 3.1», «Редут», «ДИЗ-1». Аппаратно-программные комплексы защиты реализуют максимальное число защитных механизмов:

• идентификация и аутентификация пользователей;
• разграничение доступа к файлам, каталогам, дискам;
• контроль целостности программных средств и информации;
• возможность создания функционально замкнутой среды пользователя;
• защита процесса загрузки ОС;
• блокировка ПЭВМ на время отсутствия пользователя;
• криптографическое преобразование информации;
• регистрация событий;
• очистка памяти.

Программные системы защиты в качестве идентификатора используют, как правило, только пароль. Пароль может быть перехвачен резидентными программами двух видов. Программы первого вида перехватывают прерывания от клавиатуры, записывают символы в специальный файл, а затем передают управление ОС. После перехвата установленного числа символов программа удаляется из ОП. Программы другого вида выполняются вместо штатных программ считывания пароля. Такие программы первыми получают управление и имитируют для пользователя работу со штатной программой проверки пароля. Они запоминают пароль, имитируют ошибку ввода пароля и передают управление штатной программе парольной идентификации. Отказ при первом наборе пароля пользователь воспринимает как сбой системы или свою ошибку и осуществляет повторный набор пароля, который должен завершиться допуском его к работе. При перехвате пароля в обоих случаях пользователь не почувствует, что его пароль скомпрометирован. Для получения возможности перехвата паролей злоумышленник должен изменить программную структуру системы. В некоторых программных системах защиты («Страж-1.1») для повышения достоверности аутентификации используются съемные магнитные диски, на которых записывается идентификатор пользователя.

Значительно сложнее обойти блок идентификации и аутентификации в аппаратно-программных системах защиты от НСД. В таких системах используются электронные идентификаторы, чаще всего - Touch Memory.

Для каждого пользователя устанавливаются его полномочия в отношении файлов, каталогов, логических дисков. Элементы, в отношении которых пользователю запрещены любые действия, становятся «невидимыми» для него, т. е. они не отображаются на экране монитора при просмотре содержимого внешних запоминающих устройств.

Для пользователей может устанавливаться запрет на использование таких устройств, как накопители на съемных носителях, печатающие устройства. Эти ограничения позволяют предотвращать реализацию угроз, связанных с попытками несанкционированного копирования и ввода информации, изучения системы защиты.

В наиболее совершенных системах реализован механизм контроля целостности файлов с использованием хэш-функции. При чем существуют системы, в которых контрольная характеристика хранится не только в ПЭВМ, но и в автономном ПЗУ пользователя. Постоянное запоминающее устройство, как правило, входит в состав карты или жетона, используемого для идентификации пользователя. Так в системе «Аккорд-4» хэш-функции вычисляются для контролируемых файлов и хранятся в специальном файле в ПЭВМ, а хэш-функция, вычисляемая для специального файла, хранится в Touch Memory.

После завершения работы на ПЭВМ осуществляется запись контрольных характеристик файлов на карту или жетон пользователя. При входе в систему осуществляется считывание контрольных характеристик из ПЗУ карты или жетона и сравнение их с характеристиками, вычисленными по контролируемым файлам. Для того, чтобы изменение файлов осталось незамеченным, злоумышленнику необходимо изменить контрольные характеристики как в ПЭВМ, так и на карте или жетоне, что практически невозможно при условии выполнения пользователем простых правил.

Очень эффективным механизмом борьбы с НСДИ является создание функционально-замкнутых сред пользователей. Суть его состоит в следующем. Для каждого пользователя создается меню, в которое попадает пользователь после загрузки ОС. В нем указываются программы, к выполнению которых допущен пользователь. Пользователь может выполнить любую из программ из меню. После выполнения программы пользователь снова попадает в меню. Если эти программы не имеют возможностей инициировать выполнение других программ, а также предусмотрена корректная обработка ошибок, сбоев и отказов, то пользователь не сможет выйти за рамки установленной замкнутой функциональной среды. Такой режим работы вполне осуществим во многих АСУ.

Защита процесса загрузки ОС предполагает осуществление загрузки именно штатной ОС и исключение вмешательства в ее структуру на этапе загрузки. Для обеспечения такой защиты на аппаратном или программном уровне блокируется работа всех ВЗУ, за исключением того, на котором установлен носитель со штатной ОС. Если загрузка осуществляется со съемных носителей информации, то до начала загрузки необходимо удостовериться в том, что установлен носитель со штатной ОС. Такой контроль может быть осуществлен программой, записанной в ПЗУ ЭВМ.

Способы контроля могут быть разными: от контроля идентификатора до сравнения хэш-функций. Загрузка с несъемного носителя информации все же является предпочтительнее.

Процесс загрузки ОС должен исключать возможность вмешательства до полного завершения загрузки, пока не будут работать все механизмы системы защиты. В КС достаточно блокировать на время загрузки ОС все устройства ввода информации и каналы связи.

При организации многопользовательского режима часто возникает необходимость на непродолжительное время отлучиться от рабочего места, либо передать ЭВМ другому пользователю. На это время необходимо блокировать работу ЭВМ. В этих случаях очень удобно использовать электронные идентификаторы, которые при работе должны постоянно находиться в приемном устройстве блока идентификации ЭВМ. При изъятии идентификатора гасится экран монитора и блокируются устройства управления. При предъявлении идентификатора, который использовался при доступе к ЭВМ, осуществляется разблокировка, и работа может быть продолжена. При смене пользователей целесообразно производить ее без выключения ЭВМ. Для этого необходим аппаратно-программный или программный механизм корректной смены полномочий. Если предыдущий пользователь корректно завершил работу, то новый пользователь получает доступ со своими полномочиями после успешного завершения процедуры аутентификации.

Одним из наиболее эффективных методов разграничения доступа является криптографическое преобразование информации. Этот метод является универсальным. Он защищает информацию от изучения, внедрения программных закладок, делает операцию копирования бессмысленной. Поэтому криптографические методы защиты информации рассматриваются довольно подробно в гл. 9. Здесь необходимо лишь отметить, что пользователи могут использовать одни и те же аппаратно-программные или программные средства криптографического преобразования или применять индивидуальные средства.

Для своевременного пресечения несанкционированных действий в отношении информации, а также для контроля за соблюдением установленных правил субъектами доступа, необходимо обеспечить регистрацию событий, связанных с защитой информации. Степень подробности фиксируемой информации может изменяться и обычно определяется администратором системы защиты. Информация накапливается на ВЗУ. Доступ к ней имеет только администратор системы защиты.

Важно обеспечивать стирание информации в ОП и в рабочих областях ВЗУ. В ОП размещается вся обрабатываемая информация, причем, в открытом виде. Если после завершения работы пользователя не осуществить очистку рабочих областей памяти всех уровней, то к ней может быть осуществлен несанкционированный доступ.

8.2. Система защиты программных средств от копирования и исследования

8.2.1. Методы, затрудняющие считывание скопированной информации

Создание копий программных средств для изучения или несанкционированного использования осуществляется с помощью устройств вывода или каналов связи.

Одним из самых распространенных каналов несанкционированного копирования является использование накопителей на съемных магнитных носителях. Угроза несанкционированного копирования информации блокируется методами, которые могут быть распределены по двум группам:

методы, затрудняющие считывание скопированной информации;

методы, препятствующие использованию информации.

Методы из первой группы основываются на придании особенностей процессу записи информации, которые не позволяют считывать полученную копию на других накопителях, не входящих в защищаемую КС. Таким образом, эти методы направлены на создание совместимости накопителей только внутри объекта. В КС должна быть ЭВМ, имеющая в своем составе стандартные и нестандартные накопители. На этой ЭВМ осуществляется ввод (вывод) информации для обмена с другими КС, а также переписывается информация со стандартных носителей на нестандартные, и наоборот. Эти операции осуществляются под контролем администратора системы безопасности. Такая организация ввода-вывода информации существенно затрудняет действия злоумышленника не только при несанкционированном копировании, но и при попытках несанкционированного ввода информации.

Особенности работы накопителей на съемных магнитных носителях должны задаваться за счет изменения программных средств, поддерживающих их работу, а также за счет простых аппаратных регулировок и настроек. Такой подход позволит использовать серийные образцы накопителей.

Самым простым решением является нестандартная разметка (форматирование) носителя информации [18]. Изменение длины секторов, межсекторных расстояний, порядка нумерации секторов и некоторые другие способы нестандартного форматирования дискет затрудняют их использование стандартными средствами операционных систем. Нестандартное форматирование защищает только от стандартных средств работы с накопителями. Использование специальных программных средств (например, DISK EXPLORER. для IBM-совместимых ПЭВМ) позволяет получить характеристики нестандартного форматирования.

Перепрограммирование контроллеров ВЗУ, аппаратные регулировки и настройки вызывают сбой оборудования при использовании носителей на стандартных ВЗУ, если форматирование и запись информации производились на нестандартном ВЗУ. В качестве примеров можно привести изменения стандартного алгоритма подсчета контрольной суммы и работы системы позиционирования накопителей на гибких магнитных дисках.

В контроллерах накопителей подсчитывается и записывается контрольная сумма данных сектора. Если изменить алгоритм подсчета контрольной суммы, то прочитать информацию на стандартном накопителе будет невозможно из-за сбоев.

Позиционирование в накопителях на магнитных дисках осуществляется следующим образом. Определяется номер дорожки, на которой установлены магнитные головки. Вычисляется количество дорожек, на которое необходимо переместить головки и направление движения. Если нумерацию дорожек магнитного Диска начинать не с дорожек с максимальным радиусом, как это Делается в стандартных накопителях, а нумеровать их в обратном направлении, то система позиционирования стандартного накопителя не сможет выполнять свои функции при установке на него такого диска. Направление движения будет задаваться в направлении, обратном фактически записанным на дискете номерам дорожек, и успешное завершение позиционирования невозможно.

Выбор конкретного метода изменения алгоритма работы ВЗУ (или их композиции) осуществляется с учетом удобства практической реализации и сложности повторения алгоритма злоумышленником. При разработке ВЗУ необходимо учитывать потребность использования устройств в двух режимах: в стандартном режиме и в режиме совместимости на уровне КС. Выбор одного из режимов, а также выбор конкретного алгоритма нестандартного использования должен осуществляться, например, записью в ПЗУ двоичного кода. Число нестандартных режимов должно быть таким, чтобы исключался подбор режима методом перебора. Процесс смены режима должен исключать возможность автоматизированного подбора кода. Установку кода на ВЗУ всего объекта должен производить администратор системы безопасности.

8.2.2. Методы, препятствующие использованию скопированной информации

Эта группа методов имеет целью затруднить использование полученных копированием данных. Скопированная информация может быть программой или данными. Данные и программы могут быть защищены, если они хранятся на ВЗУ в преобразованном криптографическими методами виде. Программы, кроме того, могут защищаться от несанкционированного исполнения и тиражирования, а также от исследования.

Наиболее действенным (после криптографического преобразования) методом противодействия несанкционированному выполнению скопированных программ является использование блока контроля среды размещения программы [18]. Блок контроля среды размещения является дополнительной частью программ. Он создается при инсталляции (установке) программ. В него включаются характеристики среды, в которой размещается программа, а также средства получения и сравнения характеристик.

В качестве характеристик используются характеристики ЭВМ или носителя информации, или совместно, характеристики ЭВМ и носителя. С помощью характеристик программа связывается с конкретной ЭВМ и (или) носителем информации. Программа может выполняться только на тех ЭВМ или запускаться только с тех носителей информации, характеристики которых совпадут с характеристиками, записанными в блоке контроля среды выполнения.

В качестве характеристик ЭВМ используются особенности архитектуры: тип и частота центрального процессора, номер процессора (если он есть), состав и характеристики внешних устройств, особенности их подключения, режимы работы блоков и устройств и т. п.

Сложнее осуществляется привязка программ к носителям информации, так как они стандартны и не имеют индивидуальных признаков [38]. Поэтому такие индивидуальные признаки создаются искусственно путем нанесения физических повреждений или изменением системной информации и структуры физических записей на носителе. Например, на гибких магнитных дисках могут прожигаться лазером отверстия, используется нестандартное форматирование, пометка некоторых секторов как дефектных. Приведенные средства защиты от несанкционированного использования дискет эффективны против стандартных способов создания копий (СОРY, ХСОРY, Diskсорy, Pctools, Norton Utilities в MS-DOS и др.).

Однако существуют программные средства (СОРYWRIТЕ, DISK EXPLORER), позволяющие создавать полностью идентичные копии дискет с воспроизведением всех уникальных характеристик. Все же приведенный метод защиты нельзя считать абсолютно неэффективным, так как трудоемкость преодоления защиты велика и требования, предъявляемые к квалификации взломщика, высоки.

Общий алгоритм механизма защиты от несанкционированного использования программ в «чужой» среде размещения сводится к выполнению следующих шагов.

Шаг 1. Запоминание множества индивидуальных контрольных характеристик ЭВМ и (или) съемного носителя информации на этапе инсталляции защищаемой программы.

Шаг 2. При запуске защищенной программы управление передается на блок контроля среды размещения. Блок осуществляет сбор и сравнение характеристик среды размещения с контрольными характеристиками.

Шаг 3. Если сравнение прошло успешно, то программа выполняется, иначе - отказ в выполнении. Отказ в выполнении может быть дополнен выполнением деструктивных действий в отношении этой программы, приводящих к невозможности выполнения этой программы, если такую самоликвидацию позволяет выполнить ОС.

Привязка программ к среде размещения требует повторной их инсталляции после проведения модернизации, изменения структуры или ремонта КС с заменой устройств.

Для защиты от несанкционированного использования программ могут применяться и электронные ключи [51]. Электронный ключ «НАSР» имеет размеры со спичечный коробок и подключается к параллельному порту принтера. Принтер подключается к компьютеру через электронный ключ. На работу принтера ключ не оказывает никакого влияния. Ключ распространяется с защищаемой программой. Программа в начале и в ходе выполнения считывает контрольную информацию из ключа. При отсутствии ключа выполнение программы блокируется.

8.2.3. Защита программных средств от исследования

Изучение логики работы программы может выполняться в одном из двух режимов: статическом и динамическом [60, 61]. Сущность статического режима заключается в изучении исходного текста программы. Для получения листингов исходного текста выполняемый программный модуль дизассемблируют, то есть получают из программы на машинном языке программу на языке Ассемблер.

Динамический режим изучения алгоритма программы предполагает выполнение трассировки программы. Под трассировкой программы понимается выполнение программы на ЭВМ с использованием специальных средств, позволяющих выполнять программу в пошаговом режиме, получать доступ к регистрам, областям памяти, производить остановку программы по определенным адресам и т. д. В динамическом режиме изучение алгоритма работы программы осуществляется либо в процессе трассировки, либо по данным трассировки, которые записаны в запоминающем устройстве.

Средства противодействия дизассемблированию не могут защитить программу от трассировки и наоборот: программы, защищенные только от трассировки, могут быть дизассемблированы. Поэтому для защиты программ от изучения необходимо иметь средства противодействия как дизассемблированию, так и трассировке.

Существует несколько методов противодействия дизассемблированию:

• шифрование;
• архивация:
• использование самогенерирующих кодов;
• «обман» дизассемблера.

Архивацию можно рассматривать как простейшее шифрование. Причем архивация может быть объединена с шифрованием. Комбинация таких методов позволяет получать надежно закрытые компактные программы. Зашифрованную программу невозможно дизассемблировать без расшифрования. Зашифрование (расшифрование) программ может осуществляться аппаратными средствами или отдельными программами. Такое шифрование используется перед передачей программы по каналам связи или при хранении ее на ВЗУ. Дизассемблирование программ в этом случае возможно только при получении доступа к расшифрованной программе, находящейся в ОП перед ее выполнением (если считается, что преодолеть криптографическую защиту невозможно).

Другой подход к защите от дизассемблирования связан с совмещением процесса расшифрования с процессом выполнения программ. Если расшифрование всей программы осуществляется блоком, получающим управление первым, то такую программу расшифровать довольно просто. Гораздо сложнее расшифровать и дизассемблировать программу, которая поэтапно расшифровывает информацию, и этапы разнесены по ходу выполнения программы. Задача становится еще более сложной, если процесс расшифрования разнесен по тексту программы.

Сущность метода, основанного на использовании самогенерируемых кодов, заключается в том, что исполняемые коды про граммы получаются самой программой в процессе ее выполнения. Самогенерируемые коды получаются в результате определенных действий над специально выбранным массивом данных. В качестве исходных данных могут использоваться исполняемые коды самой программы или специально подготовленный массив данных. Данный метод показал свою высокую эффективность, но он сложен в реализации.

Под «обманом» дизассемблера понимают такой стиль программирования, который вызывает нарушение правильной работы стандартного дизассемблера за счет нестандартных приемов использования отдельных команд, нарушения общепринятых соглашений. «Обман» дизассемблера осуществляется несколькими способами:

• нестандартная структура программы;
• скрытые переходы, вызовы процедур, возвраты из них и из прерываний;
• переходы и вызовы подпрограмм по динамически изменяемым адресам;
• модификация исполняемых кодов.

Для дезориентации дизассемблера часто используются скрытые переходы, вызовы и возвраты за счет применения нестандартных возможностей команд.

Маскировка скрытых действий часто осуществляется с применением стеков.

Трассировка программ обычно осуществляется с помощью программных продуктов, называемых отладчиками. Основное назначение их - выявление ошибок в программах. При анализе алгоритмов программ используются такие возможности отладчиков как пошаговое (покомандное) выполнение программ, возможность останова в контрольной точке.

Покомандное выполнение осуществляется процессором при установке пошагового режима работы. Контрольной точкой называют любое место в программе, на котором обычное выполнение программы приостанавливается, и осуществляется переход в особый режим, например, в режим покомандного выполнения. Для реализации механизма контрольной точки обычно используется прерывание по соответствующей команде ЭВМ (для IВМ-совместных ПЭВМ такой командой является команда INТ). В современных процессорах можно использовать специальные регистры для установки нескольких контрольных точек при выполнении определенных операций: обращение к участку памяти, изменение участка памяти, выборка по определенному адресу, обращение к определенному порту ввода-вывода и т. д.

При наличии современных средств отладки программ полностью исключить возможность изучения алгоритма программы невозможно, но существенно затруднить трассировку возможно. Основной задачей противодействия трассировке является увеличение числа и сложности ручных операций, которые необходимо выполнить программисту-аналитику.

Для противодействия трассировке программы в ее состав вводятся следующие механизмы:

• изменение среды функционирования;

• модификация кодов программы;
• «случайные» переходы.

Под изменением среды функционирования понимается запрет или переопределение прерываний (если это возможно), изменение режимов работы, состояния управляющих регистров, триггеров и т. п. Такие изменения вынуждают аналитика отслеживать изменения и вручную восстанавливать среду функционирования.

Изменяющиеся коды программ, например, в процедурах приводят к тому, что каждое выполнение процедуры выполняется по различным ветвям алгоритма.

«Случайные» переходы выполняются за счет вычисления адресов переходов. Исходными данными для этого служат характеристики среды функционирования, контрольные суммы процедур (модифицируемых) и т. п. Включение таких механизмов в текст программ существенно усложняет изучение алгоритмов программ путем их трассировки.

Контрольные вопросы

1. Дайте определение несанкционированного доступа к информации.
2. Сравните два подхода к организации разграничения доступа.
3. Поясните принцип действия и концепцию создания системы разграничения доступа.
4. Приведите примеры современных систем защиты ПЭВМ и их возможности.
5. Поясните сущность защиты информации от копирования.
6. Какие методы применяются для защиты программных средств от исследования?

ГЛАВА 9. Криптографические методы защиты информации

9.1. Классификация методов криптографического преобразования информации

Под криптографической защитой информации понимается такое преобразование исходной информации, в результате которого она становится недоступной для ознакомления и использования лицами, не имеющими на это полномочий.

Известны различные подходы к классификации методов криптографического преобразования информации. По виду воздействия на исходную информацию методы криптографического преобразования информации могут быть разделены на четыре группы (рис. 14).

Рис. 14. Классификация методов криптографического преобразования информации

Процесс шифрования заключается в проведении обратимых математических, логических, комбинаторных и других преобразований исходной информации, в результате которых зашифрованная информация представляет собой хаотический набор букв, цифр, других символов и двоичных кодов.

Для шифрования информации используются алгоритм преобразования и ключ. Как правило, алгоритм для определенного метода шифрования является неизменным. Исходными данными для алгоритма шифрования служат информация, подлежащая зашифрованию, и ключ шифрования. Ключ содержит управляющую информацию, которая определяет выбор преобразования на определенных шагах алгоритма и величины операндов, используемые при реализации алгоритма шифрования.

В отличие от других методов криптографического преобразования информации, методы стеганографии [2] позволяют скрыть не только смысл хранящейся или передаваемой информации, но и сам факт хранения или передачи закрытой информации. В компьютерных системах практическое использование стеганографии только начинается, но проведенные исследования показывают ее перспективность. В основе всех методов стеганографии лежит маскирование закрытой информации среди открытых файлов. Обработка мультимедийных файлов в КС открыла практически неограниченные возможности перед стеганографией.

Существует несколько методов скрытой передачи информации. Одним из них является простой метод скрытия файлов при работе в операционной системе MS-DOS. За текстовым открытым файлом записывается скрытый двоичный файл, объем которого много меньше текстового файла. В конце текстового файла помещается метка ЕОF (комбинация клавиш Control и Z). При обращении к этому текстовому файлу стандартными средствами ОС считывание прекращается по достижению метки ЕОF, и скрытый файл остается недоступен. Для двоичных файлов никаких меток в конце файла не предусмотрено. Конец такого файла определяется при обработке атрибутов, в которых хранится длина файла в байтах. Доступ к скрытому файлу может быть получен, если файл открыть как двоичный. Скрытый файл может быть зашифрован. Если кто-то случайно обнаружит скрытый файл, то зашифрованная информация будет воспринята как сбой в работе системы.

Графическая и звуковая информация представляются в числовом виде. Так в графических объектах наименьший элемент изображения может кодироваться одним байтом. В младшие разряды определенных байтов изображения в соответствии с алгоритмом криптографического преобразования помещаются биты скрытого файла. Если правильно подобрать алгоритм преобразования и изображение, на фоне которого помещается скрытый файл, то человеческому глазу практически невозможно отличить полученное изображение от исходного. Очень сложно выявить скрытую информацию и с помощью специальных программ. Наилучшим образом для внедрения скрытой информации подходят изображения местности: фотоснимки со спутников, самолетов и т. п. С помощью средств стеганографии могут маскироваться текст, изображение, речь, цифровая подпись, зашифрованное сообщение. Комплексное использование стеганографии и шифрования многократно повышает сложность решения задачи обнаружения и раскрытия конфиденциальной информации.

Содержанием процесса кодирования информации является замена смысловых конструкций исходной информации (слов, предложений) кодами. В качестве кодов могут использоваться сочетания букв, цифр, букв и цифр. При кодировании и обратном преобразовании используются специальные таблицы или словари. Кодирование информации целесообразно применять в системах с ограниченным набором смысловых конструкций. Такой вид криптографического преобразования применим, например, в командных линиях АСУ. Недостатками кодирования конфиденциальной информации является необходимость хранения и распространения кодировочных таблиц, которые необходимо часто менять, чтобы избежать раскрытия кодов статистическими методами обработки перехваченных сообщений.

Сжатие информации может быть отнесено к методам криптографического преобразования информации с определенными оговорками. Целью сжатия является сокращение объема информации. В то же время сжатая информация не может быть прочитана или использована без обратного преобразования. Учитывая доступность средств сжатия и обратного преобразования, эти методы нельзя рассматривать как надежные средства криптографического преобразования информации. Даже если держать в секрете алгоритмы, то они могут быть сравнительно легко раскрыты статистическими методами обработки. Поэтому сжатые файлы конфиденциальной информации подвергаются последующему шифрованию. Для сокращения времени целесообразно совмещать процесс сжатия и шифрования информации.

9.2. Шифрование. Основные понятия

Основным видом криптографического преобразования информации в КС является шифрование. Под шифрованием понимается процесс преобразования открытой информации в зашифрованную информацию (шифртекст) или процесс обратного преобразования зашифрованной информации в открытую. Процесс преобразования открытой информации в закрытую получил название зашифрование, а процесс преобразования закрытой информации в открытую - расшифрование.

За многовековую историю использования шифрования информации человечеством изобретено множество методов шифрования или шифров. Методом шифрования (шифром) называется совокупность обратимых преобразований открытой информации в закрытую информацию в соответствии с алгоритмом шифрования. Большинство методов шифрования не выдержали проверку временем, а некоторые используются и до сих пор. Появление ЭВМ и КС инициировало процесс разработки новых шифров, учитывающих возможности использования ЭВМ как для зашифрования/расшифрования информации, так и для атак на шифр. Атака на шифр (криптоанализ) - это процесс расшифрования закрытой информации без знания ключа и, возможно, при отсутствии сведений об алгоритме шифрования.

Современные методы шифрования должны отвечать следующим требованиям:

• стойкость шифра противостоять криптоанализ (криптостойкость) должна быть такой, чтобы вскрытие его могло быть осуществлено только путем решения задачи полного перебора ключей;
• криптостойкость обеспечивается не секретностью алгоритма шифрования, а секретностью ключа;
• шифртекст не должен существенно превосходить по объему исходную информацию;
• ошибки, возникающие при шифровании, не должны приводить к искажениям и потерям информации;
• время шифрования не должно быть большим;
• стоимость шифрования должна быть согласована со стоимостью закрываемой информации.

Криптостойкость шифра является его основным показателем эффективности. Она измеряется временем или стоимостью средств, необходимых криптоаналитику для получения исходной информации по шифртексту, при условии, что ему неизвестен ключ.

Сохранить в секрете широко используемый алгоритм шифрования практически невозможно. Поэтому алгоритм не должен иметь скрытых слабых мест, которыми могли бы воспользоваться криптоаналитики. Если это условие выполняется, то криптостойкость шифра определяется длиной ключа, так как единственный путь вскрытия зашифрованной информации - перебор комбинаций ключа и выполнение алгоритма расшифрования. Таким образом, время и средства, затрачиваемые на криптоанализ, зависят от длины ключа и сложности алгоритма шифрования.

В качестве примера удачного метода шифрования можно привести шифр DES (Data Еncryption Standard), применяемый в США с 1978 года в качестве государственного стандарта. Алгоритм шифрования не является секретным и был опубликован в открытой печати. За все время использования этого шифра не было обнародовано ни одного случая обнаружения слабых мест в алгоритме шифрования.

В конце 70-х годов использование ключа длиной в 56 бит гарантировало, что для раскрытия шифра потребуется несколько лет непрерывной работы самых мощных по тем временам компьютеров. Прогресс в области вычислительной техники позволил значительно сократить время определения ключа путем полного перебора. Согласно заявлению специалистов Агентства национальной безопасности США 56-битный ключ для DES может быть найден менее чем за 453 дня с использованием суперЭВМ Сrау ТЗD, которая имеет 1024 узла и стоит 30 млн. долл. Используя чип FРGА (Field Рrogrammably Gate Аrrау - программируемая вентильная матрица) стоимостью 400 долл., можно восстановить 40-битный ключ DES за 5 часов. Потратив 10000 долл. за 25 чипов FPGA, 40-битный ключ можно найти в среднем за 12 мин. Для вскрытия 56-битного ключа DES при опоре на серийную технологию и затратах в 300000 долл. требуется в среднем 19 дней, а если разработать специальный чип, то - 3 часа. При затратах в 300 млн. долл. 56-битные ключи могут быть найдены за 12 сек. Расчеты показывают, что в настоящее время для надежного закрытия информации длина ключа должна быть не менее 90 бит.

Все методы шифрования могут быть классифицированы по различным признакам. Один из вариантов классификации приведен на рис. 15 [8].

9.3. Методы шифрования с симметричным ключом

9.3.1. Методы замены

Сущность методов замены (подстановки) заключается в замене символов исходной информации, записанных в одном алфавите, символами из другого алфавита по определенному правилу [56]. Самым простым является метод прямой замены. Символам s_0i исходного алфавита A₀, с помощью которых записывается исходная информация, однозначно ставятся в соответствие символы s_1i шифрующего алфавита А₁. В простейшем случае оба алфавита могут состоять из одного и того же набора символов. Например, оба алфавита могут содержать буквы русского алфавита.

Задание соответствия между символами обоих алфавитов осуществляется с помощью преобразования числовых эквивалентов символов исходного текста Т₀, длиной - К символов, по определенному алгоритму.

Алгоритм моноалфавитной замены может быть представлен в виде последовательности шагов.

Шаг 1. Формирование числового кортежа L_0h путем замены каждого символа , представленного в исходном алфавите A₀ размера [1×K], на число h_0i(s_0i), соответствующее порядковому номеру символа s_0i в алфавите A₀.

Шаг 2. Формирование числового кортежа L_1h путем замены каждого числа кортежа L_0h на соответствующее число h_1i кортежа L_1h, вычисляемое по формуле:

h_li=k₁×h_0i(s_0i)+k₂)(mod R),

где k₁ - десятичный коэффициент; k₂ - коэффициент сдвига. Выбранные коэффициенты k₁, k₂ должны обеспечивать однозначное соответствие чисел h_0i и h_1i, а при получении h_1i=0 выполнить замену h_1i=R.

Шаг 3. Получение шифртекста Т₁ путем замены каждого числа h_li(s_li) кортежа L_1h соответствующим символом алфавита шифрования A₁ размера [1×R].

Шаг 4. Полученный шифртекст разбивается на блоки фиксированной длины b. Если последний блок оказывается неполным, то в конец блока помещаются специальные символы-заполнители (например, символ *).

Рис. 15. Классификация методов шифрования

Пример. Исходными данными для шифрования являются:

T₀=<М Е Т О Д _ Ш И Ф Р О В А Н И Я>;

A₀=<А Б В Г Д Е Ж З И К Л М Н О П Р С Т У Ф Х Ц Ч Ш Щ Ъ Ы Ь Э Ю Я _>;

A₁=<О Р Щ Ь Я Т Э _ Ж М Ч Х А В Д Ы Ф К С Е З П И Ц Г Н Л Ъ Ш Б У Ю>;

R=32; k₁=3; k₂=15; b=4.

Пошаговое выполнение алгоритма приводит к получению следующих результатов.

Шаг 1. L_0h=<12, 6, 18, 14, 5, 32, 24, 9, 20, 16, 14, 3, 1, 13, 9, 31>.

Шаг 2. L_1h=<19, 1, 5, 25, 30, 15, 23, 10, 11, 31, 25, 24, 18, 22, 10, 12>.

Шаг 3. T₁=<С О Я Г Б Д И М Ч У Г Ц К П М Х>.

Шаг 4. T₂=<С О Я Г Б Д И М Ч У Г Ц К П М Х>.

При расшифровании сначала устраняется разбиение на блоки. Получается непрерывный шифртекст T1 длиной K символов. Расшифрование осуществляется путем решения целочисленного уравнения:

k₁h₀₁+k₂=nR+h_1i,

При известных целых величинах k₁, k₂, h_1i и R величина h_0i вычисляется методом перебора n.

Последовательное применение этой процедуры ко всем символам шифртекста приводит к его расшифрованию.

По условиям приведенного примера может быть построена таблица замены, в которой взаимозаменяемые символы располагаются в одном столбце (табл. 1).

Таблица 1

Таблица замены

Использование таблицы замены значительно упрощает процесс шифрования. При шифровании символ исходного текста сравнивается с символами строки s_0i таблицы. Если произошло совпадение в i-м столбце, то символ исходного текста заменяется символом из строки s_1i, находящегося в том же столбце i таблицы.

Расшифрование осуществляется аналогичным образом, но вход в таблицу производится по строке s_1i.

Основным недостатком метода прямой замены является наличие одних и тех же статистических характеристик исходного и закрытого текста. Зная, на каком языке написан исходный текст и частотную характеристику употребления символов алфавита этого языка, криптоаналитик путем статистической обработки перехваченных сообщений может установить соответствие между символами обоих алфавитов.

Существенно более стойкими являются методы полиалфавитной замены. Такие методы основаны на использовании нескольких алфавитов для замены символов исходного текста. Формально полиалфавитную замену можно представить следующим образом. При N — алфавитной замене символ s₀₁ из исходного алфавита A₀ заменяется символом s₁₁ из алфавита A₁, s₀₂ заменяется символом s₂₂ из алфавита А₂ и так далее. После замены s_0N символом s_NN из А_N символ s_0(N+1) замещается символом s_1(N+1) из алфавита A₁ и так далее.

Наибольшее распространение получил алгоритм полиалфавитной замены с использованием таблицы (матрицы) Вижинера T_B, которая представляет собой квадратную матрицу [R×R], где R - количество символов в используемом алфавите. В первой строке располагаются символы в алфавитном порядке. Начиная со второй строки, символы записываются со сдвигом влево на одну позицию. Выталкиваемые символы заполняют освобождающиеся позиции справа (циклический сдвиг). Если используется русский алфавит, то матрица Вижинера имеет размерность [32 x 32] (рис. 16).

Рис. 16. Матрица Вижинера

Шифрование осуществляется с помощью ключа, состоящего из М неповторяющихся символов. Из полной матрицы Вижинера выделяется матрица шифрования Т_ш, размерностью [(М+1), R]. Она включает первую строку и строки, первые элементы которых совпадают с символами ключа. Если в качестве ключа выбрано слово <ЗОНД>, то матрица шифрования содержит пять строк (рис. 17).

Рис. 17. Матрица шифрования для ключа <ЗОНД>

Алгоритм зашифрования с помощью таблицы Вижинера представляет собой следующую последовательность шагов.

Шаг 1. Выбор ключа К длиной М символов.

Шаг 2. Построение матрицы шифрования Т_ш=(b_ij) размерностью [(М+1), R] для выбранного ключа К.

Шаг 3. Под каждым символом s_0r исходного текста длиной I символов размещается символ ключа k_m (рис. 17). Ключ повторяется необходимое число раз.

Шаг 4. Символы исходного текста последовательно замещаются символами, выбираемыми из Т_ш по следующему правилу:

1. определяется символ k_m ключа К, соответствующий замещаемому символу s_or;
2. находится строка i в Т_ш, для которой выполняется условие k_m=b_i1;
3. определяется столбец j, для которого выполняется условие: s_or=b_1j;
4. символ s_or замещается символом b_ij.

Шаг 5, Полученная зашифрованная последовательность разбивается на блоки определенной длины, например, по четыре символа. Последний блок дополняется, при необходимости, служебными символами до полного объема.

Расшифрование осуществляется в следующей последовательности:

Шаг 1. Под шифртекстом записывается последовательность символов ключа по аналогии с шагом 3 алгоритма зашифрования.

Шаг 2. Последовательно выбираются символы s_1r из шифртекста и соответствующие символы ключа K_m. В матрице Т_ш определяется строка i, для которой выполняется условие K_m = b_i1. В строке 1 определяется элемент b_ij = s_1r. В расшифрованный текст на позицию r помещается символ b_1j.

Шаг 3. Расшифрованный текст записывается без разделения на блоки. Убираются служебные символы.

Пример.

Требуется с помощью ключа К = <ЗОНД> зашифровать исходный текст Т = <БЕЗОБЛАЧНОЕ_НЕБО>. Механизмы зашифрования и расшифрования представлены на рис. 18.

Рис. 18. Пример шифрования с помощью матрицы Вижинера

Криптостойкость методов полиалфавитной замены значительно выше методов простой замены, так как одни и те же символы исходной последовательности могут заменяться разными символами. Однако стойкость шифра к статистическим методам криптоанализа зависит от длины ключа.

Для повышения криптостойкости может использоваться модифицированная матрица шифрования. Она представляет собой матрицу размерности [11, R], где R - число символов алфавита. В первой строке располагаются символы в алфавитном порядке. Остальные 10 строк нумеруются от 0 до 9. В этих строках символы располагаются случайным образом.

В качестве ключей используются, например, непериодические бесконечные числа π, е и другие. Очередной n-й символ исходного текста заменяется соответствующим символом из строки матрицы шифрования, номер которой совпадает с n-й цифрой бесконечного числа.

9.3.2. Методы перестановки

Суть методов перестановки заключается в разделении исходного текста на блоки фиксированной длины и последующей перестановке символов внутри каждого блока по определенному алгоритму [56].

Перестановки получаются за счет разницы путей записи исходной информации и путей считывания зашифрованной информации в пределах геометрической фигуры. Примером простейшей перестановки является запись блока исходной информации в матрицу по строкам, а считывание - по столбцам. Последовательность заполнения строк матрицы и считывания зашифрованной информации по столбцам может задаваться ключом. Криптостойкость метода зависит от длины блока (размерности матрицы). Так для блока длиной 64 символа (размерность матрицы 8 x 8) возможны 1,6 х 10⁹ комбинаций ключа. Для блока длиной 256 символов (матрица размерностью 16 x 16) число возможных ключей достигает 1,4 x 10²⁶. Решение задачи перебора ключей в последнем случае даже для современных ЭВМ представляет существенную сложность.

Перестановки используются также в методе, основанном на применении маршрутов Гамильтона. Этот метод реализуется путем выполнения следующих шагов.

Шаг 1. Исходная информация разбивается на блоки. Если длина шифруемой информации не кратна длине блока, то на свободные места последнего блока помещаются специальные служебные символы-заполнители (например *).

Шаг 2. Символами блока заполняется таблица, в которой для каждого порядкового номера символа в блоке отводится вполне определенное место (рис. 19).

Шаг 3. Считывание символов из таблицы осуществляется по одному из маршрутов. Увеличение числа маршрутов повышает Криптостойкость шифра. Маршруты выбираются либо последовательно, либо их очередность задается ключом К.

Шаг 4. Зашифрованная последовательность символов разбивается на блоки фиксированной длины L. Величина L может отличаться от длины блоков, на которые разбивается исходная информация на шаге 1.

Расшифрование производится в обратном порядке. В соответствии с ключом выбирается маршрут и заполняется таблица согласно этому маршруту.

Таблица	Маршрут № 1	Маршрут № 2

Рис. 19. Вариант 8-элементной таблицы и маршрутов Гамильтона

Из таблицы символы считываются в порядке следования номеров элементов. Ниже приводится пример шифрования информации с использованием маршрутов Гамильтона.

Пусть требуется зашифровать исходный текст Т₀ = <МЕТОДЫ_ПЕРЕСТАНОВКИ>. Ключ и длина зашифрованных блоков соответственно равны: К = <2, 1, 1>, L = 4. Для шифрования используются таблица и два маршрута, представленные на рис. 19. Для заданных условий маршруты с заполненными матрицами имеют вид, показанный на рис. 20.

Таблица	Маршрут № 1	Маршрут № 2

Рис. 20. Пример шифрования с помощью маршрутов Гамильтона

Шаг 1. Исходный текст разбивается на три блока:

Б1 = <МЕТОДЫ_П>;

Б2 = <ЕРЕСТАНО>;

Б3 = <ВКИ*****>.

Шаг 2. Заполняются три матрицы с маршрутами 2, 1, 1 (рис. 20).

Шаг 3. Получение шифртекста путем расстановки символов в соответствии с маршрутами.

Т! = <ОП_ТМЕЫДЕСРЕТАОНИ*КВ****>.

Шаг 4. Разбиение на блоки шифртекста

Т1 = <ОП_Т МЕЫД ЕСРЕ ТАОН И*КВ ****>.

В практике большое значение имеет использование специальных аппаратных схем, реализующих метод перестановок (рис. 21).

Рис. 21. Схема перестановок

Параллельный двоичный код блока исходной информации (например, два байта) подаются на схему. За счет внутренней коммутации в схеме осуществляется перестановка бит в пределах блока. Для расшифрования блока информации входы и выходы схемы меняются местами [49].

Методы перестановок просто реализуются, но имеют два существенных недостатка. Во-первых, они допускают раскрытие шифртекста при помощи статистической обработки. Во-вторых, если исходный текст разбивается на блоки длиной К символов, то криптоаналитику для раскрытия шифра достаточно направить в систему шифрования К-1 блок тестовой информации, в которых все символы за исключением одного одинаковы.

9.3.3. Аналитические методы шифрования

Для шифрования информации могут использоваться аналитические преобразования [8]. Наибольшее распространение получили методы шифрования, основанные на использовании матричной алгебры. Зашифрование k-го блока исходной информации, представленного в виде вектора B_k = ||b_j||, осуществляется путем перемножения матрицы-ключа А = ||a_ij|| и вектора B_k. В результате перемножения получается блок шифртекста в виде вектора C_k = ||c_i|| , где элементы вектора C_k определяются по формуле:

Расшифрование информации осуществляется путем последовательного перемножения векторов C_k и матрицы A^-1, обратной матрице A.

Пример шифрования информации с использованием алгебры матриц.

Пусть необходимо зашифровать и расшифровать слово

Т₀ = < ЗАБАВА> с помощью матрицы-ключа А:

Для зашифрования исходного слова необходимо выполнить

следующие шаги.

Шаг 1. Определяется числовой эквивалент исходного слова как последовательность соответствующих порядковых номеров букв слов Т_э:

T_э = <8, 1, 2, 1, 3, 1>

Шаг 2. Умножение матрицы А на векторы В₁ = {8, 1, 2} и В₂ = {1, 3, 1}:

;

.

Шаг 3. Зашифрованное слово записывается в виде последовательности чисел Т₁ = <28, 35, 67, 21, 26, 38>.

Расшифрование слова осуществляется следующим образом.

Шаг 1. Вычисляется определитель |А| = -115.

Шаг 2. Определяется присоединенная матрица А*, каждый элемент которой является алгебраическим дополнением элемента матрицы А

.

Шаг 3. Получается транспонированная матрица А^T

.

Шаг 4. Вычисляется обратная матрица А^-1 по формуле:

А^-1 = А^Т/|А|.

В результате вычислений обратная матрица имеет вид:

.

Шаг 5. Определяются векторы B₁ и B₂:

B₁ = A^-1∙C₁; B₂ = A^-1∙C₂.

,

.

Шаг 6. Числовой эквивалент расшифрованного слова

Т_э = <8, 1, 2, 1, 3, 1> заменяется символами, в результате чего получается исходное слово Т₀ = <ЗАБАВА>.

9.3.4. Аддитивные методы шифрования

Сущность аддитивных методов шифрования заключается в последовательном суммировании цифровых кодов, соответствующих символам исходной информации, с последовательностью кодов, которая соответствует некоторому кортежу символов [56]. Этот кортеж называется гаммой. Поэтому аддитивные методы шифрования называют также гаммированием.

Для данных методов шифрования ключом является гамма. Криптостойкость аддитивных методов зависит от длины ключа и равномерности его статистических характеристик. Если ключ короче, чем шифруемая последовательность символов, то шифртекст может быть расшифрован криптоаналитиком статистическими методами исследования. Чем больше разница длин ключа и исходной информации, тем выше вероятность успешной атаки на шифртекст. Если ключ представляет собой непериодическую последовательность случайных чисел, длина которой превышает длину шифруемой информации, то без знания ключа расшифровать шифртекст практически невозможно. Как и для методов замены в качестве ключа могут использоваться неповторяющиеся последовательности цифр, например, в числах π, е и других.

На практике самыми эффективными и распространенными являются аддитивные методы, в основу которых положено использование генераторов (датчиков) псевдослучайных чисел. Генератор использует исходную информацию относительно малой длины для получения практически бесконечной последовательности псевдослучайных чисел.

Для получения последовательности псевдослучайных чисел (ПСЧ) могут использоваться конгруэнтные генераторы. Генераторы этого класса вырабатывают псевдослучайные последовательности чисел, для которых могут быть строго математически определены такие основные характеристики генераторов как периодичность и случайность выходных последовательностей.

Среди конгруэнтных генераторов ПСЧ выделяется своей простотой и эффективностью линейный генератор, вырабатывающий псевдослучайную последовательность чисел Т(i) в соответствии с соотношением

Т(i+1) = (а ∙ Т(i) + с) mod m,

где а и с - константы, Т(0) - исходная величина, выбранная в качестве порождающего числа.

Период повторения такого датчика ПСЧ зависит от величин а и с. Значение m обычно принимается равным 2^s, где s - длина слова ЭВМ в битах. Период повторения последовательности генерируемых чисел будет максимальным тогда и только тогда, когда с - нечетное число и а (mod 4) = 1 [39]: Такой генератор может быть сравнительно легко создан как аппаратными средствами, так и программно.

9.4. Системы шифрования с открытым ключом

Наряду с традиционным шифрованием на основе секретного ключа в последние годы все большее признание получают системы шифрования с открытым ключом. В таких системах используются два ключа. Информация шифруется с помощью открытого ключа, а расшифровывается с использованием секретного ключа.

В основе применения систем с открытым ключом лежит использование необратимых или односторонних функций [8]. Эти функции обладают следующим свойством. По известному х легко определяется функция у = f(х). Но по известному значению у Практически невозможно получить х. В криптографии используется односторонние функции, имеющие так называемый потайной ход. Эти функции с параметром z обладают следующими свойствами. Для определенного z могут быть найдены алгоритмы E_z и D_z. С помощью E_z легко получить функцию f_z(х) для всех х из области определения. Так же просто с помощью алгоритма D_z получается и обратная функция х = f^-1(y) для всех у из области допустимых значений. В то же время практически для всех z и почти для всех у из области допустимых значений нахождение f^-1(y) при помощи вычислений невозможно даже при известном E_z. В качестве открытого ключа используется у, а в качестве закрытого - х.

При шифровании с использованием открытого ключа нет необходимости в передаче секретного ключа между взаимодействующими субъектами, что существенно упрощает криптозащиту передаваемой информации.

Криптосистемы с открытыми ключами различаются видом односторонних функций. Среди них самыми известными являются системы RSA, Эль-Гамаля и Мак-Элиса. В настоящее время наиболее эффективным и распространенным алгоритмом шифрования с открытым ключом является алгоритм RSA, получивший свое название от первых букв фамилий его создателей: Rivest, Shamir и Adleman.

Алгоритм основан на использовании операции возведения в степень модульной арифметики. Его можно представить в виде следующей последовательности шагов [39].

Шаг 1 . Выбираются два больших простых числа р и q. Простыми называются числа, которые делятся только на самих себя и на 1 . Величина этих чисел должна быть больше 200.

Шаг 2. Получается открытая компонента ключа n:

n = р * q.

Шаг 3. Вычисляется функция Эйлера по формуле:

f(p, q) = (p-1) ∙ (q-1).

Функция Эйлера показывает количество целых положительных чисел от 1 до n, которые взаимно просты с n. Взаимно простыми являются такие числа, которые не имеют ни одного общего делителя, кроме 1.

Шаг 4. Выбирается большое простое число d, которое является взаимно простым со значением f(p, q).

Шаг 5. Определяется число е, удовлетворяющее условию:

e ∙ d = 1(modf(p, q)).

Данное условие означает, что остаток от деления (вычет) произведения е*d на функцию f(р, q) равен 1. Число е принимается в качестве второй компоненты открытого ключа. В качестве секретного ключа используются числа p и q.

Шаг 6. Исходная информация, независимо от ее физической природы, представляется в числовом двоичном виде. Последовательность бит разделяется на блоки длиной L бит, где L - наименьшее целое число, удовлетворяющее условию: L≥lоg₂(n+1). Каждый блок рассматривается как целое положительное число Х(i), принадлежащее интервалу [0, n-1]. Таким образом, исходная информация представляется последовательностью чисел Х(i), . Значение I определяется длиной шифруемой последовательности.

Шаг 7. Зашифрованная информация получается в виде последовательности чисел Y(i), вычисляемых по формуле:

Y(i) = (Х(i))^e(mod n).

Шаг 8. Для расшифрования информации используется следующая зависимость:

X(i) = (Y(i))^d(mod n).

Пример применения метода RSA для криптографического закрытия информации. Примечание: для простоты вычислений использованы минимально возможные числа.

Пусть требуется зашифровать сообщение на русском языке «ГАЗ».

Для зашифрования и расшифрования сообщения необходимо выполнить следующие шаги.

Шаг 1. Выбирается p = 3 и q = 11.

Шаг 2. Вычисляется n = 3 * 11 = 33.

Шаг 3. Определяется функция Эйлера

f(p, q) = (3-1)*(11-1) = 20.

Шаг 4. В качестве взаимно простого числа выбирается число

Шаг 5. Выбирается такое число е, которое удовлетворяло бы ношению: (е*3) (mod 20) = 1. Пусть е = 7. Шаг 6. Исходное сообщение представляется как последовательность целых чисел. Пусть букве А соответствует число 1, букве Г — число 4, букве З - число 9. Для представления чисел в двоичном коде требуется 6 двоичных разрядов, так как в русском алфавите используются 33 буквы (случайное совпадение с числом n). Исходная информация в двоичном коде имеет вид:

000100 000001 001001.

Длина блока L определяется как минимальное число из целых чисел, удовлетворяющих условию: L≥log₂(33+1), так как n=33. Отсюда L = 6. Тогда исходный текст представляется в виде кортежа Х(i) = <4, 1, 9>.

Шаг 7. Кортеж Х(i) зашифровывается с помощью открытого ключа {7, 33}:

Y(1) = (4⁷) (mod 33) = 16384 (mod 33) = 16;

Y(2) = (1⁷) (mod 33) = 1 (mod 33) = 1;

Y(3) = (9⁷) (mod 33) = 4782969 (mod 33) = 15.

Получено зашифрованное сообщение Y(i) = <16, 1, 15>.

Шаг 8. Расшифровка сообщения Y(i) = <16, 1, 15> осуществляется с помощью секретного ключа {3, 33}:

Х(1) = (16³) (mod 33) = 4096 (mod 33) = 4;

Х(2) = (1³) (mod 33) = 1 (mod 33) = 1;

Х(3) = (15³) (mod 33) = 3375 (mod 33) = 9.

Исходная числовая последовательность в расшифрованном виде X(1) = <4, 1, 9> заменяется исходным текстом «ГАЗ».

Система Эль-Гамаля основана на сложности вычисления дискретных логарифмов в конечных полях [22]. Основным недостатком систем RSA и Эль-Гамаля является необходимость выполнения трудоемких операций в модульной арифметике, что требует привлечения значительных вычислительных ресурсов.

Криптосистема Мак-Элиса использует коды, исправляющие ошибки. Она реализуется в несколько раз быстрее, чем криптосистема RSA, но имеет и существенный недостаток. В криптосистеме Мак-Элиса используется ключ большой длины и получаемый шифртекст в два раза превышает длину исходного текста.

Для всех методов шифрования с открытым ключом математически строго не доказано отсутствие других методов криптоанализа кроме решения NP-полной задачи (задачи полного перебора). Если появятся методы эффективного решения таких задач, то криптосистемы такого типа будут дискредитированы. Например, ранее считалось, что задача укладки рюкзака является NР-полной. В настоящее время известен метод решения такой задачи, позволяющий избежать полного перебора.

9.5. Стандарты шифрования

9.5.1. Российский стандарт на шифрование информации ГОСТ 28147-89

В Российской Федерации установлен государственный стандарт (ГОСТ 28147—89 [9]) на алгоритмы криптографического преобразования информации в ЭВМ, вычислительных комплексах и вычислительных сетях. Эти алгоритмы допускается использовать без ограничений для шифрования информации любого уровня секретности. Алгоритмы могут быть реализованы аппаратными и программными способами.

Стандартом определены следующие алгоритмы криптографического преобразования информации:

• простая замена;
• гаммирование;
• гаммирование с обратной связью;
• выработка имитовставки.

Общим для всех алгоритмов шифрования является использование ключа размерностью 256 бит, разделенного на восемь 32-разрядных двоичных слов, и разделение исходной шифруемой двоичной последовательности на блоки по 64 бита.

Сущность алгоритма простой замены состоит в следующем. Блок из 64-х бит исходной последовательности разбивается два двоичных слова А и В по 32 разряда. Слова А образуют младшие биты, а слово В - старшие биты блока. Эти слова подвергаются итерационной обработке с числом итераций равным i=32. Слово, находящееся на месте младших бит блока, (А на первой итерации) суммируется по mod 2³² с 32-разрядным словом ключа; разбивается на части по 4 бита в каждой (4-х разрядные входные векторы); с помощью специальных узлов замены каждый вектор заменятся на другой вектор (4 бита); полученные векторы объединяются в 32-разрядное слово, которое циклически сдвигается влево на 32 разряда и суммируется по mod 2 с другим 32-Разрядным словом из 64-разрядного блока (слово В на первой итерации).

После выполнения первой итерации в блоке на месте младших бит будет расположено слово В, а слева преобразованное слово А. На следующих итерациях операции над словами повторяются.

На каждой итерации i 32-разрядное слово ключа j (всего их 8) выбирается по следующему правилу:

Блок замены состоит из 8 узлов замены, которые выбираются поочередно. Узел замены представляет собой таблицу из шестнадцати строк, в каждой из которых находятся векторы замены (4 бита). Входной вектор определяет адрес строки в таблице, число из которой является выходным вектором замены. Информация в таблицы замены заносится заранее и изменяется редко.

Алгоритм гаммирования предусматривает сложение по mod 2 исходной последовательности бит с последовательностью бит гаммы. Гамма получается в соответствии с алгоритмом простой замены. При выработке гаммы используются две специальные константы, заданные в ГОСТ 28147-89, а также 64-разрядная двоичная последовательность - синхропосылка. Расшифрование информации возможно только при наличии синхропосылки, которая не является секретной и может в открытом виде храниться в памяти ЭВМ или передаваться по каналам связи.

Алгоритм гаммирования с обратной связью очень схож с алгоритмом гаммирования. Они различаются лишь действиями на первом шаге итерационного процесса шифрования.

В ГОСТ 28147-89 определен алгоритм выработки имитовставки. Она используется для защиты от навязывания ложной информации. Имитовставка является функцией преобразования исходной информации и секретного ключа. Она представляет собой двоичную последовательность длиной k бит. Значение параметра k выбирается с учетом вероятности навязывания ложной информации P_н, которая связана с параметром k соотношением:

Р_н = 1/2^k.

Алгоритм выработки имитовставки может быть представлен следующей последовательностью действий. Открытая информация разбивается на блоки Т(i) (i=1, 2, ..., m), где m определяется объемом шифруемой информации. Объем каждого блока - 64 бита. Первый блок Т(1) подвергается преобразованию в соответствии с первыми 16-ю итерациями алгоритма простой замены. В качестве ключа используется ключ, по которому будет шифроваться исходная информация. Полученное 64-битовое двоичное слово суммируется по mod 2 со вторым блоком Т(2). Результат суммирования подвергается тем же итерационным преобразованиям, что и блок Т(1), а на завершающем этапе суммируется по mod 2 с третьим блоком Т(3). Эти действия повторяются для m-1 блоков исходной информации. Если последний блок Т(m) не полный, то он дополняется соответствующим числом нулей до 64 разрядов. Этот блок суммируется по mod 2 с результатом, полученным при обработке Т(m-1) блока, и подвергается преобразованию в соответствии с первыми 16-ю итерациями алгоритма простой замены. Из полученного 64-разрядного блока выделяется слово длиной k бит, которое и является имитовставкой.

Имитовставка помещается в конце зашифрованной информации. При получении (считывании) этой информации осуществляется ее расшифрование. По расшифрованной информации определяется имитовставка и сравнивается с полученной (считанной) имитовставкой. Если имитовставки не совпадают, то считается, вся расшифрованная информация является ложной.

9.5.2. Стандарт США на шифрование информации

Государственным стандартом на шифрование информации является стандарт DES (Data Encryption Standard). Алгоритм шифрования, положенный в основу стандарта, был разработан фирмой IBM. После проверки специалистами Агентства Национальной безопасности США алгоритм получил статус государственного стандарта. Стандарт DES используется федеральными департаментами для закрытия информации в автоматизированных систем за исключением некоторых видов информации, определенных специальными актами. Кроме того, этот стандарт шифрования широко используется негосударственными организациями не только в США, но и во всем мире.

В стандарте DES исходная информация разбивается на блоки 64 бита в каждом и подвергается криптографическому преобразованию с использованием ключа, длиной 56 или 64 бита [39].

Блоки исходной информации подвергаются итерационной обработке с использованием операций перестановки и функции шифрования. Для вычисления функции шифрования предусматривается получение 48-битового ключа из 64-битового, расширение 32-битового кода до 48-битового, преобразование 6-битового кода в 4-битовый и перестановка бит в 32-битовой последовательности [3].

Процесс расшифрования является инверсным по отношению к процессу шифрования и выполняется с использованием того же ключа, что и при шифровании.

9.6. Перспективы использования криптозащиты информации в КС

Криптостойкость рассмотренных методов шифрования определяется длиной ключа, которая для современных систем должна быть, по крайней мере, больше 90 бит.

Для особо ответственных применений секретным является не только ключ, но и алгоритм шифрования. Для повышения криптостойкости шифров могут использоваться несколько ключей (обычно три ключа). Зашифрованная с помощью первого ключа информация подвергается шифрованию с помощью второго ключа и т. д.

Предлагается использовать переменные алгоритмы шифрования. В этом случае ключ шифрования используется еще и для выбора конкретного алгоритма шифрования. Развитие этого направления шифрования сдерживает сложность строгого доказательства криптостойкости такого шифрования.

Привлекательность методов шифрования с использованием открытых ключей заключается, прежде всего, в отсутствии необходимости рассылки секретных ключей. Для распределенных на больших расстояниях объектов КС рассылка секретных ключей становится довольно сложной и трудоемкой задачей. Распространение систем с открытыми ключами сдерживается отсутствием доказательств невозможности получения секретных ключей, кроме как путем их полного перебора.

Перспективным направлением развития криптозащиты информации является стеганография. Комплексное использование стеганографии и шифрования намного повышает криптостойкость закрытой информации.

Контрольные вопросы

1. Дайте определение криптографической защиты информации.
2. Приведите классификацию методов криптографического преобразования информации и поясните сущность методов.
3. Назовите и охарактеризуйте методы шифрования.
4. Сравните наиболее распространенные стандарты шифрования.
5. Каковы перспективы криптозащиты информации в КС?

ГЛАВА 10. Компьютерные вирусы и механизмы борьбы с ними

Вредительские программы и, прежде всего, вирусы представляют очень серьезную опасность для информации в КС. Недооценка этой опасности может иметь серьезные последствия для информации пользователей. Вредит использованию всех возможностей КС и чрезмерное преувеличение опасности вирусов. Знание механизмов действия вирусов, методов и средств борьбы с Ними позволяет эффективно организовать противодействие вирусам, свести к минимуму вероятность заражения и потерь от их воздействия.

Термин «компьютерный вирус» был введен сравнительно недавно - в середине 80-х годов. Малые размеры, способность быстро распространяться, размножаясь и внедряясь в объекты (заражая их), негативное воздействие на систему - все эти признаки логических вирусов присущи и вредительским программам, пучившим по этой причине название «компьютерные вирусы». Вместе с термином «вирус» при работе с компьютерными вирусу используются и другие медицинские термины: «заражение», среда обитания», «профилактика» и др.

«Компьютерные вирусы» - это небольшие исполняемые или интерпретируемые программы, обладающие свойством распространения и самовоспроизведения (репликации) в КС. Вирусы могут выполнять изменение или уничтожение программного обеспечения или данных, хранящихся в КС. В процессе распространения вирусы могут себя модифицировать.

10.1. Классификация компьютерных вирусов

В настоящее время в мире насчитывается более 40 тысяч только зарегистрированных компьютерных вирусов. Так как подавляющее большинство современных вредительских программ обладают способностью к саморазмножению, то часто их относят к компьютерным вирусам. Все компьютерные вирусы могут быть классифицированы по следующим признакам [4, 20]:

• по среде обитания;
• по способу заражения;
• по степени опасности деструктивных (вредительских) воздействий;
• по алгоритму функционирования.

По среде обитания компьютерные вирусы делятся на:

• сетевые;
• файловые;
• загрузочные;
• комбинированные.

Средой обитания сетевых вирусов являются элементы компьютерных сетей. Файловые вирусы размещаются в исполняемых файлах. Загрузочные вирусы находятся в загрузочных секторах (областях) внешних запоминающих устройств (boot-секторах). Иногда загрузочные вирусы называют бутовыми. Комбинированные вирусы размещаются в нескольких средах обитания. Примером таких вирусов служат загрузочно-файловые вирусы. Эти вирусы могут размещаться как в загрузочных секторах накопителей на магнитных дисках, так и в теле загрузочных файлов.

По способу заражения среды обитания компьютерные вирусы делятся на:

• резидентные;
• нерезидентные.

Резидентные вирусы после их активизации полностью или частично перемещаются из среды обитания (сеть, загрузочный сектор, файл) в оперативную память ЭВМ. Эти вирусы, используя, как правило, привилегированные режимы работы, разрешенные только операционной системе, заражают среду обитания и при выполнении определенных условий реализуют деструктивную функцию. В отличие от резидентных нерезидентные вирусы попадают в оперативную память ЭВМ только на время их активности, в течение которого выполняют деструктивную функцию и функцию заражения. Затем вирусы полностью покидают оперативную память, оставаясь в среде обитания. Если вирус помещает в оперативную память программу, которая не заражает среду обитания, то такой вирус считается нерезидентным.

Арсенал деструктивных или вредительских возможностей компьютерных вирусов весьма обширен. Деструктивные возможности вирусов зависят от целей и квалификации их создателя, а также от особенностей компьютерных систем.

По степени опасности для информационных ресурсов пользователя компьютерные вирусы можно разделить на:

• безвредные вирусы;
• опасные вирусы;
• очень опасные вирусы.

Безвредные компьютерные вирусы создаются авторами, которые не ставят себе цели нанести какой-либо ущерб ресурсам КС. Ими, как правило, движет желание показать свои возможности программиста. Другими словами, создание компьютерных вирусов для таких людей - своеобразная попытка самоутверждения. Деструктивное воздействие таких вирусов сводится к выводу на экран монитора невинных текстов и картинок, исполнению музыкальных фрагментов и т. п.

Однако при всей кажущейся безобидности таких вирусов они наносят определенный ущерб КС. Во-первых, такие вирусы расходуют ресурсы КС, в той или иной мере снижая ее эффективность функционирования. Во-вторых, компьютерные вирусы могут содержать ошибки, вызывающие опасные последствия для информационных ресурсов КС. Кроме того, при модернизации операционной системы или аппаратных средств КС вирусы, созданные ранее, могут приводить к нарушениям штатного алгоритма работы системы.

К опасным относятся вирусы, которые вызывают существенное снижение эффективности КС, но не приводящие к нарушению целостности и конфиденциальности информации, хранящейся в запоминающих устройствах. Последствия таких вирусов могут быть ликвидированы без особых затрат материальных и временных ресурсов. Примерами таких вирусов являются вирусы, занимающие память ЭВМ и каналы связи, но не блокирующие работу сети; вирусы, вызывающие необходимость повторного выполнения программ, перезагрузки операционной системы или повторной передачи данных по каналам связи и т. п.

Очень опасными следует считать вирусы, вызывающие нарушение конфиденциальности, уничтожение, необратимую модификацию (в том числе и шифрование) информации, а также вирусы, блокирующие доступ к информации, приводящие к отказу аппаратных средств и наносящие ущерб здоровью пользователям. Такие вирусы стирают отдельные файлы, системные области памяти, форматируют диски, получают несанкционированный доступ к информации, шифруют данные и т. п.

Известны публикации, в которых упоминаются вирусы, вызывающие неисправности аппаратных средств. Предполагается, что на резонансной частоте движущиеся части электромеханических устройств, например в системе позиционирования накопителя на магнитных дисках, могут быть разрушены. Именно такой режим и может быть создан с помощью программы-вируса. Другие авторы утверждают, что возможно задание режимов интенсивного использования отдельных электронных схем (например, больших интегральных схем), при которых наступает их перегрев и выход из строя.

Использование в современных ПЭВМ постоянной памяти с возможностью перезаписи привело к появлению вирусов, изменяющих программы BIOS, что приводит к необходимости замены постоянных запоминающих устройств.

Возможны также воздействия на психику человека - оператора ЭВМ с помощью подбора видеоизображения, выдаваемого на экран монитора с определенной частотой (каждый двадцать пятый кадр). Встроенные кадры этой видеоинформации воспринимаются человеком на подсознательном уровне. В результате такого воздействия возможно нанесение серьезного ущерба психике человека. В 1997 году 700 японцев попали в больницу с признаками эпилепсии после просмотра компьютерного мультфильма по телевидению. Предполагают, что именно таким образом была опробована возможность воздействия на человека с помощью встраивания 25-го кадра [57].

В соответствии с особенностями алгоритма функционирования вирусы можно разделить на два класса:

• вирусы, не изменяющие среду обитания (файлы и секторы) при распространении;
• вирусы, изменяющие среду обитания при распространении.

В свою очередь, вирусы, не изменяющие среду обитания, могут быть разделены на две группы:

• вирусы-«спутники» (сотраniоп);
• вирусы-«черви» (worm).

Вирусы-«спутники» не изменяют файлы. Механизм их действия состоит в создании копий исполняемых файлов. Например, в MS-DOS такие вирусы создают копии для файлов, имеющих расширение .ЕХЕ. Копии присваивается то же имя, что и исполняемому файлу, но расширение изменяется на .СОМ. При запуске файла с общим именем операционная система первым загружает на выполнение файл с расширением .СОМ, который является программой-вирусом. Файл-вирус запускает затем и файл с расширением .ЕХЕ.

Вирусы-«черви» попадают в рабочую станцию из сети, вычисляют адреса рассылки вируса по другим абонентам сети и осуществляют передачу вируса. Вирус не изменяет файлов и не записывается в загрузочные секторы дисков. Некоторые вирусы-«черви» создают рабочие копии вируса на диске, другие - размещаются только в оперативной памяти ЭВМ.

По сложности, степени совершенства и особенностям маскировки алгоритмов вирусы, изменяющие среду обитания, делятся на:

• студенческие;
• «стелс» - вирусы (вирусы-невидимки);
• полиморфные.

К студенческим относят вирусы, создатели которых имеют низкую квалификацию. Такие вирусы, как правило, являются нерезидентными, часто содержат ошибки, довольно просто обнаруживаются и удаляются.

«Стелc»-вирусы и полиморфные вирусы создаются квалифицированными специалистами, хорошо знающими принцип работы аппаратных средств и операционной системы, а также владеющими навыками работы с машиноориентированными системами программирования.

«Стелс»-вирусы маскируют свое присутствие в среде обитания путем перехвата обращений операционной системы к пораженным файлам, секторам и переадресуют ОС к незараженным участкам информации. Вирус является резидентным, маскируется под программы ОС, может перемещаться в памяти. Такие вирусы активизируются при возникновении прерываний, выполняют определенные действия, в том числе и по маскировке, и только затем управление передается на программы ОС, обрабатывающие эти прерывания. «Стелс»-вирусы обладают способностью противодействовать резидентным антивирусным средствам.

Полиморфные вирусы не имеют постоянных опознавательных групп - сигнатур. Обычные вирусы для распознавания факта заражения среды обитания размещают в зараженном объекте специальную опознавательную двоичную последовательность или последовательность символов (сигнатуру), которая однозначно идентифицирует зараженность файла или сектора. Сигнатуры используются на этапе распространения вирусов для того, чтобы избежать многократного заражения одних и тех же объектов, так как при многократном заражении объекта значительно возрастает вероятность обнаружения вируса. Для устранения демаскирующих признаков полиморфные вирусы используют шифрование тела вируса и модификацию программы шифрования. За счет такого преобразования полиморфные вирусы не имеют совпадений кодов.

Любой вирус, независимо от принадлежности к определенным классам, должен иметь три функциональных блока: блок заражения (распространения), блок маскирования и блок выполнения деструктивных действий. Разделение на функциональные блоки означает, что к определенному блоку относятся команды программы вируса, выполняющие одну из трех функций, независимо от места нахождения команд в теле вируса.

После передачи управления вирусу, как правило, выполняются определенные функции блока маскировки. Например, осуществляется расшифрование тела вируса. Затем вирус осуществляет функцию внедрения в незараженную среду обитания. Если вирусом должны выполняться деструктивные воздействия, то они выполняются либо безусловно, либо при выполнении определенных условий.

Завершает работу вируса всегда блок маскирования. При этом выполняются, например, следующие действия: шифрование вируса (если функция шифрования реализована), восстановление старой даты изменения файла, восстановление атрибутов файла, корректировка таблиц ОС и др.

Последней командой вируса выполняется команда перехода на выполнение зараженных файлов или на выполнение программ ОС.

Для удобства работы с известными вирусами используются каталоги вирусов. В каталог помещаются следующие сведения о стандартных свойствах вируса: имя, длина, заражаемые файлы, место внедрения в файл, метод заражения, способ внедрения в ОП для резидентных вирусов, вызываемые эффекты, наличие (отсутствие) деструктивной функции и ошибки. Наличие каталогов позволяет при описании вирусов указывать только особые свойства, опуская стандартные свойства и действия.

10.2. Файловые вирусы

10.2.1. Структура файлового вируса

Файловые вирусы могут внедряться только в исполняемые файлы: командные файлы (файлы, состоящие из команд операционной системы), саморазархивирующиеся файлы, пользовательские и системные программы в машинных кодах, а также в документы (таблицы), имеющие макрокоманды. Макрокоманды или макросы представляют собой исполняемые программы для автоматизации работы с документами (таблицами). Поэтому такие документы (таблицы) можно рассматривать как исполняемый файл.

Для IВМ - совместимых ПЭВМ вирус может внедряться в файлы следующих типов: командные файлы (ВАТ), загружаемые Драйверы (SYS), программы в машинных (двоичных) кодах (ЕХЕ, СОМ), документы Word (DОС) с версии 6.0 и выше, таблицы ЕХСЕL (XLS). Макровирусы могут внедряться и в другие файлы, содержащие макрокоманды.

Файловые вирусы могут размещаться в начале, середине и конце заражаемого файла (рис. 22).

Независимо от места расположения вируса в теле зараженного файла после передачи управления файлу первыми выполняются команды вируса.

В начало файла вирус внедряется одним из трех способов. Первый из них заключается в переписывании начала файла в его конец, а на освободившееся место записывается вирус. Второй способ предполагает считывание вируса и зараженного файла в оперативную память, объединение их в один файл и запись его на место файла. При третьем способе заражения вирус записывается в начало файла без сохранения содержимого. В этом случае зараженный файл становится неработоспособным.

Рис. 22. Варианты размещения вирусов в файлах

В середину файла вирус может быть записан также различными способами. Файл может «раздвигаться», а в освободившееся место может быть записан вирус. Вирус может внедряться в середину файла без сохранения участка файла, на место которого помещается вирус. Есть и более экзотические способы внедрения вируса в середину файла. Например, вирус «Mutant» применяет метод сжатия отдельных участков файла, при этом длина файла после внедрения вируса может не измениться.

Чаще всего вирус внедряется в конец файла. При этом, как и в случае с внедрением вируса в середину файла, первые команды файла заменяются командами перехода на тело вируса.

10.2.2. Алгоритм работы файлового вируса

Несмотря на многообразие файловых вирусов, можно выделить действия и порядок их выполнения, которые присутствуют при реализации большинства вирусов этого класса. Такой обобщенный алгоритм может быть представлен в виде следующей последовательности шагов:

Шаг 1. Резидентный вирус проверяет, заражена ли оперативная память, и при необходимости заражает ее. Нерезидентный вирус ищет незараженные файлы и заражает их.

Шаг 2. Выполняются действия по сохранению работоспособности программы, в файл которой внедряется вирус (восстановление первых байт программы, настройка адресов программ и т. д.)

Шаг 3. Осуществляется деструктивная функция вируса, если выполняются соответствующие условия.

Шаг 4. Передается управление программе, в файле которой находится вирус.

При реализации конкретных вирусов состав действий и их последовательность могут отличаться от приведенных в алгоритме.

10.2.3. Особенности макровирусов

Особое место среди файловых вирусов занимают макровирусы. Макровирусы представляют собой вредительские программы, написанные на макроязыках, встроенных в текстовые редакторы, электронные таблицы и др.

Для существования вирусов в конкретной системе (редакторе) необходимо, чтобы встроенный в нее макроязык имел следующие возможности:

• привязку программы на макроязыке к конкретному файлу;
• копирование макропрограмм из одного файла в другой;
• получение управления макропрограммой без вмешательства пользователя.

Таким условиям отвечают редакторы МS Word, МS Office, Ami Pro, табличный процессор МS Ехсеl. В этих системах используются макроязыки Word Basic и Visual Basic.

При выполнении определенных действий над файлами, содержащими макропрограммы (открытие, сохранение, закрытие и т. д.), автоматически выполняются макропрограммы файлов. При этом управление получают макровирусы, которые сохраняют активность до тех пор, пока активен соответствующий редактор (процессор). Поэтому при работе с другим файлом в «зараженном редакторе (процессоре)», он также заражается. Здесь прослеживается аналогия с резидентными вирусами по механизму заражения. Для получения управления макровирусы, заражающие файлы МS Оfficе, как правило, используют один из приемов:

1. в вирусе имеется автомакрос (выполняется автоматически, при открытии документа, таблицы);
2. в вирусе переопределен один из стандартных макросов, который выполняется при выборе определенного пункта меню;
3. макрос вируса автоматически вызывается на выполнение при нажатии определенной клавиши или комбинаций клавиш.

Первый макровирус WinWord.Соnсерt, поражающий документы Word, появился летом 1995 года. Вредительская функция этого вируса заключается в изменении формата документов текстового редактора Word в формат файлов стилей. Другой макровирус WinWord Nuclear уже не столь безобиден. Он дописывает фразу с требованием запрещения ядерных испытаний, проводимых Францией в Тихом океане. Кроме того, этот вирус ежегодно 5 апреля пытается уничтожить важные системные файлы.

10.3. Загрузочные вирусы

Загрузочные вирусы заражают загрузочные (Вoot) сектора гибких дисков и Вооt-сектора или Master Boot Sector (МВR) жестких дисков (рис. 23).

Загрузочные вирусы являются резидентными. Заражение происходит при загрузке операционной системы с дисков.

После включения ЭВМ осуществляется контроль ее работоспособности с помощью программы, записанной в постоянном запоминающем устройстве. Если проверка завершилась успешно, то осуществляется считывание первого сектора с гибкого или жесткого диска. Порядок использования дисководов для загрузки задается пользователем при помощи программы Setup. Если диск, с которого производится загрузка ОС, заражен загрузочным вирусом, то обычно выполняются следующие шаги:

Шаг 1. Считанный из 1-го сектора диска загрузочный вирус (часть вируса) получает управление, уменьшает объем свободной памяти ОП и считывает с диска тело вируса.

Шаг 2. Вирус переписывает сам себя в другую область ОП, чаще всего - в старшие адреса памяти.

Шаг 3. Устанавливаются необходимые вектора прерываний (вирус резидентный).

Шаг 4. При выполнении определенных условий производятся деструктивные действия.

Шаг 5. Копируется Вооt-сектор в ОП и передается ему управление.

Рис. 23. Размещение загрузочного вируса на диске

Если вирус был активизирован с гибкого диска, то он записывается в загрузочный сектор жесткого диска. Активный вирус, постоянно находясь в ОП, заражает загрузочные сектора всех гибких дисков, а не только системные диски.

Заражение рабочих гибких дисков загрузочными вирусами выполняется в расчете на ошибочные действия пользователя ЭВМ в момент загрузки ОС. Если установлен порядок загрузки ОС сначала с гибкого диска, а затем - с жесткого, то при наличии гибкого диска в накопители будет считан 1-й сектор с гибкого диска. Если диск был заражен, то этого достаточно для заражения ЭВМ. Такая ситуация наиболее часто имеет место при перезагрузке ОС после «зависаний» или отказов ЭВМ.

10.4. Вирусы и операционные системы

Программы-вирусы создаются для ЭВМ определенного типа, работающих с конкретными ОС. Для одних ОС созданы тысячи вирусов. В качестве примера можно привести ОС MS-DOS, устанавливаемую на IBM совместимые персональные компьютеры. Для ОС UNIX, ОS/2, Windows и некоторых других ОС известно незначительное количество вирусов. Привлекательность ОС для создателей вирусов определяется следующими факторами:

• распространенность ОС;
• отсутствие встроенных антивирусных механизмов;
• относительная простота;
• продолжительность эксплуатации.

Все приведенные факторы характерны для МS DOS. Наличие антивирусных механизмов, сложность систем и относительно малые сроки эксплуатации делают задачу создания вирусов трудно решаемой. Поэтому авторы вирусов для Windows, ОS/2 часто прибегают к использованию из этих операционных систем хорошо знакомой МS DOS для внедрения вирусов.

Главным недостатком МS DOS является возможность полного и бесконтрольного доступа любой активной программы ко всем системным ресурсам ЭВМ, включая и модули самой ОС.

Операционная система Microsoft Windows 3.1 и ее модификация Microsoft Windows for Workgroups 3.11 не являются самостоятельными ОС, а больше похожи на очень большие программы MS DOS. В этих ОС введены ограничения на доступ к ОП. Каждая программа получает доступ только к своему виртуальному пространству ОП. Доступ же к дискам, файлам и портам внешних устройств не ограничены. Сохраняют работоспособность и загрузочные вирусы, разработанные для МS DOS, так как они получают управление еще до загрузки Microsoft Windows 3.1 и в этот период времени действия их ничем не ограничены.

Слабость защитных функций ОС Microsoft Windows 95/98 также объясняется совместимостью с МS DOS. Эта ОС имеет такую же устойчивость к воздействию вирусов, как и Microsoft Windows 3.1. К тому же в этой ОС получили распространение и макровирусы.

Значительно лучше защищена от вирусов операционная система IВМ ОS/2. Эта система полностью независима от МS DOS. Все программы, выполняемые в ОS/2, работают в отдельных адресных пространствах, что полностью исключает возможность взаимного влияния программ. Существует возможность запретить рабочим программам (несистемным) иметь доступ к портам периферийных устройств. Если ЭВМ с Microsoft ОS/2 используется в качестве файл-сервера IBM LAN Server, то с помощью драйвера 386 НРFS можно указывать права доступа к каталогам и файлам. Можно также защитить каталоги от записи в файлы, содержащиеся в них. В этой системе существует возможность выполнения программ МS DOS. Но в ОS/2 для вирусов, созданных для МS DOS, гораздо меньше возможностей.

Хорошую защиту от вирусов имеют сетевые операционные системы Microsoft Windows NT и Novell Netware, а также операционная система Microsoft Windows 2000.

10.5. Методы и средства борьбы с вирусами

Массовое распространение вирусов, серьезность последствий их воздействия на ресурсы КС вызвали необходимость разработки и использования специальных антивирусных средств и методов их применения. Антивирусные средства применяются для решения следующих задач [55]:

• обнаружение вирусов в КС;
• блокирование работы программ-вирусов;
• устранение последствий воздействия вирусов.

Обнаружение вирусов желательно осуществлять на стадии их внедрения или, по крайней мере, до начала осуществления деструктивных функций вирусов. Необходимо отметить, что не существует антивирусных средств, гарантирующих обнаружение всех возможных вирусов. При обнаружении вируса необходимо сразу же прекратить работу программы-вируса, чтобы минимизировать ущерб от его воздействия на систему. Устранение последствий воздействия вирусов ведется в двух направлениях:

• удаление вирусов;
• восстановление (при необходимости) файлов, областей памяти.

Восстановление системы зависит от типа вируса, а также от элемента времени обнаружения вируса по отношению к началу деструктивных действий. Восстановление информации без использования дублирующей информации может быть невыполнимым, если вирусы при внедрении не сохраняют информацию, на место которой они помещаются в память, а также, если деструктивные действия уже начались, и они предусматривают изменения информации.

Для борьбы с вирусами используются программные и аппаратно-программные средства, которые применяются в определенной последовательности и комбинации, образуя методы борьбы с вирусами. Можно выделить методы обнаружения вирусов и методы удаления вирусов.

10.5.1. Методы обнаружения вирусов

Известны следующие методы обнаружения вирусов [55]:

• сканирование;
• обнаружение изменений;
• эвристический анализ;
• использование резидентных сторожей;
• вакцинирование программ;
• аппаратно-программная защита от вирусов.

Сканирование - один из самых простых методов обнаружения вирусов. Сканирование осуществляется программой-сканером, которая просматривает файлы в поисках опознавательной части вируса - сигнатуры. Программа фиксирует наличие уже известных вирусов, за исключением полиморфных вирусов, которые применяют шифрование тела вируса, изменяя при этом каждый раз и сигнатуру. Программы-сканеры могут хранить не сигнатуры известных вирусов, а их контрольные суммы. Программы-сканеры часто могут удалять обнаруженные вирусы. Такие программы называются полифагами.

Метод сканирования применим для обнаружения вирусов, сигнатуры которых уже выделены и являются постоянными. Для эффективного использования метода необходимо регулярное обновление сведений о новых вирусах.

Самой известной программой-сканером в России является Aidstest Дмитрия Лозинского.

Метод обнаружения изменений базируется на использовании программ-ревизоров. Эти программы определяют и запоминают характеристики всех областей на дисках, в которых обычно размещаются вирусы. При периодическом выполнении программ- ревизоров сравниваются хранящиеся характеристики и характеристики, получаемые при контроле областей дисков. По результатам ревизии программа выдает сведения о предположительном наличии вирусов.

Обычно программы-ревизоры запоминают в специальных файлах образы главной загрузочной записи, загрузочных секторов логических дисков, характеристики всех контролируемых файлов, каталогов и номера дефектных кластеров. Могут контролироваться также объем установленной оперативной памяти, количество подключенных к компьютеру дисков и их параметры.

Главным достоинством метода является возможность обнаружения вирусов всех типов, а также новых неизвестных вирусов. Совершенные программы-ревизоры обнаруживают даже «стелс»-вирусы. Например, программа-ревизор Аdinf, разработанная Д. Ю Мостовым, работает с диском непосредственно по секторам через Bios. Это не позволяет использовать «стелс»-вирусам возможность перехвата прерываний и «подставки» для контроля нужной вирусу области памяти.

Имеются у этого метода и недостатки. С помощью программ-ревизоров невозможно определить вирус в файлах, которые поступают в систему уже зараженными. Вирусы будут обнаружены только после размножения в системе.

Программы-ревизоры непригодны для обнаружения заражения макровирусами, так как документы и таблицы очень часто изменяются.

Эвристический анализ сравнительно недавно начал использоваться для обнаружения вирусов. Как и метод обнаружения изменений, данный метод позволяет определять неизвестные вирусы, но не требует предварительного сбора, обработки и хранения информации о файловой системе.

Сущность эвристического анализа заключается в проверке возможных сред обитания вирусов и выявление в них команд (групп команд), характерных для вирусов. Такими командами могут быть команды создания резидентных модулей в оперативной памяти, команды прямого обращения к дискам, минуя ОС. Эвристические анализаторы при обнаружении «подозрительных» команд в файлах или загрузочных секторах выдают сообщение о возможном заражении. После получения таких сообщений необходимо тщательно проверить предположительно зараженные файлы и загрузочные сектора всеми имеющимися антивирусными средствами. Эвристический анализатор имеется, например, в антивирусной программе Doctor Web.

Метод использования резидентных сторожей основан на применении программ, которые постоянно находятся в ОП ЭВМ и отслеживают все действия остальных программ.

В случае выполнения какой-либо программой подозрительных действий (обращение для записи в загрузочные сектора, помещение в ОП резидентных модулей, попытки перехвата прерываний и т. п.) резидентный сторож выдает сообщение пользователю. Программа-сторож может загружать на выполнение другие антивирусные программы для проверки «подозрительных» программ, а также для контроля всех поступающих извне файлов (со сменных дисков, по сети).

Существенным недостатком данного метода является значительный процент ложных тревог, что мешает работе пользователя, вызывает раздражение и желание отказаться от использования резидентных сторожей. Примером резидентного сторожа может служить программа Vsafe, входящая в состав MS DOS.

Под вакцинацией программ понимается создание специального модуля для контроля ее целостности. В качестве характеристики целостности файла обычно используется контрольная сумма. При заражении вакцинированного файла, модуль контроля обнаруживает изменение контрольной суммы и сообщает об этом пользователю. Метод позволяет обнаруживать все вирусы, в том числе и незнакомые, за исключением «стеле»- вирусов.

Самым надежным методом защиты от вирусов является использование аппаратно-программных антивирусных средств. В настоящее время для защиты ПЭВМ используются специальные контроллеры и их программное обеспечение. Контроллер устанавливается в разъем расширения и имеет доступ к общей шине. Это позволяет ему контролировать все обращения к дисковой системе. В программном обеспечении контроллера запоминаются области на дисках, изменение которых в обычных режимах работы не допускается. Таким образом, можно установить защиту на изменение главной загрузочной записи, загрузочных секторов, файлов конфигурации, исполняемых файлов и др.

При выполнении запретных действий любой программой контроллер выдает соответствующее сообщение пользователю и блокирует работу ПЭВМ.

Аппаратно-программные антивирусные средства обладают рядом достоинств перед программными:

• работают постоянно;
• обнаруживают все вирусы, независимо от механизма их действия;
• блокируют неразрешенные действия, являющиеся результатом работы вируса или неквалифицированного пользователя.

Недостаток у этих средств один - зависимость от аппаратных средств ПЭВМ. Изменение последних ведет к необходимости замены контроллера.

Примером аппаратно-программной защиты от вирусов может служить комплекс Sheriff.

10.5.2. Методы удаления последствий заражения вирусами

В процессе удаления последствий заражения вирусами осуществляется удаление вирусов, а также восстановление файлов и областей памяти, в которых находился вирус. Существует два метода удаления последствий воздействия вирусов антивирусными программами.

Первый метод предполагает восстановление системы после воздействия известных вирусов. Разработчик программы-фага, удаляющей вирус, должен знать структуру вируса и его характеристики размещения в среде обитания.

Второй метод позволяет восстанавливать файлы и загрузочные сектора, зараженные неизвестными вирусами. Для восстановления файлов программа восстановления должна заблаговременно создать и хранить информацию о файлах, полученную в условиях отсутствия вирусов. Имея информацию о незараженном файле и используя сведения об общих принципах работы вирусов, осуществляется восстановление файлов. Если вирус подверг файл необратимым изменениям, то восстановление возможно только с использованием резервной копии или с дистрибутива. При их отсутствии существует только один выход - уничтожить файл и восстановить его вручную.

Если антивирусная программа не может восстановить главную загрузочную запись или загрузочные сектора, то можно попытаться это сделать вручную. В случае неудачи следует отформатировать диск и установить ОС.

Существуют вирусы, которые, попадая в ЭВМ, становятся частью его ОС. Если просто удалить такой вирус, то система становится неработоспособной.

Одним из таких вирусов является вирус One Half. При загрузке ЭВМ вирус постепенно зашифровывает жесткий диск. При обращении к уже зашифрованным секторам резидентный вирус One Half перехватывает обращения и расшифровывает информацию. Удаление вируса приведет к невозможности использовать зашифрованную часть диска. При удалении такого вируса необходимо сначала расшифровать информацию на диске. Для этого необходимо знать механизм действия вируса.

10.6. Профилактика заражения вирусами компьютерных систем

Чтобы обезопасить ЭВМ от воздействия вирусов, пользователь, прежде всего, должен иметь представление о механизме действия вирусов, чтобы адекватно оценивать возможность и последствия заражения КС. Главным же условием безопасной работы в КС является соблюдение ряда правил, которые апробированы на практике и показали свою высокую эффективность.

Правило первое. Использование программных продуктов, полученных законным официальным путем.

Вероятность наличия вируса в пиратской копии во много раз выше, чем в официально полученном программном обеспечении.

Правило второе. Дублирование информации.

Прежде всего, необходимо сохранять дистрибутивные носители программного обеспечения. При этом запись на носители, допускающие выполнение этой операции, должна быть, по возможности, заблокирована. Следует особо позаботиться о сохранении рабочей информации. Предпочтительнее регулярно создавать копии рабочих файлов на съемных машинных носителях информации с защитой от записи. Если создается копия на несъемном носителе, то желательно ее создавать на других ВЗУ или ЭВМ. Копируется либо весь файл, либо только вносимые изменения. Последний вариант применим, например, при работе с базами данных.

Правило третье. Регулярно использовать антивирусные средства. Перед началом работы целесообразно выполнять программы-сканеры и программы-ревизоры (Aidstest и Adinf). Антивирусные средства должны регулярно обновляться.

Правило четвертое. Особую осторожность следует проявлять при использовании новых съемных носителей информации и новых файлов. Новые дискеты обязательно должны быть проверены на отсутствие загрузочных и файловых вирусов, а полученные файлы - на наличие файловых вирусов. Проверка осуществляется программами-сканерами и программами, осуществляющими эвристический анализ (Aidstest, Doctor Web, AntiVirus). При первом выполнении исполняемого файла используются резидентные сторожа. При работе с полученными документами и таблицами целесообразно запретить выполнение макрокоманд средствами, встроенными в текстовые и табличные редакторы (MS Word, MS Excel), до завершения полной проверки этих файлов.

Правило пятое. При работе в распределенных системах или в системах коллективного пользования целесообразно новые сменные носители информации и вводимые в систему файлы проверять на специально выделенных для этой цели ЭВМ. Целесообразно для этого использовать автоматизированное рабочее место администратора системы или лица, отвечающего за безопасность информации. Только после всесторонней антивирусной проверки дисков и файлов они могут передаваться пользователям системы.

Правило шестое. Если не предполагается осуществлять запись информации на носитель, то необходимо заблокировать выполнение этой операции. На магнитных дискетах 3,5 дюйма для этого достаточно открыть квадратное отверстие.

Постоянное следование всем приведенным рекомендациям позволяет значительно уменьшить вероятность заражения программными вирусами и защищает пользователя от безвозвратных потерь информации.

В особо ответственных системах для борьбы с вирусами необходимо использовать аппаратно-программные средства (например, Sheriff).

10.7. Порядок действий пользователя при обнаружении заражения ЭВМ вирусами

Даже при скрупулезном выполнении всех правил профилактики возможность заражения ЭВМ компьютерными вирусами полностью исключить нельзя. И если вирус все же попал в КС, то последствия его пребывания можно свести к минимуму, придерживаясь определенной последовательности действий.

О наличии вируса в КС пользователь может судить по следующим событиям:

• появление сообщений антивирусных средств о заражении или о предполагаемом заражении;
• явные проявления присутствия вируса, такие как сообщения, выдаваемые на монитор или принтер, звуковые эффекты, уничтожение файлов и другие аналогичные действия, однозначно указывающие на наличие вируса в КС;
• неявные проявления заражения, которые могут быть вызваны и другими причинами, например, сбоями или отказами аппаратных и программных средств КС.

К неявным проявлениям наличия вирусов в КС можно отнести «зависания» системы, замедление выполнения определенных действий, нарушение адресации, сбои устройств и тому подобное.

Получив информацию о предполагаемом заражении, пользователь должен убедиться в этом. Решить такую задачу можно с помощью всего комплекса антивирусных средств. Убедившись в том, что заражение произошло, пользователю следует выполнить следующую последовательность шагов:

Шаг 1. Выключить ЭВМ для уничтожения резидентных вирусов.

Шаг 2. Осуществить загрузку эталонной операционной системы со сменного носителя информации, в которой отсутствуют вирусы.

Шаг 3. Сохранить на сменных носителях информации важные для вас файлы, которые не имеют резервных копий.

Шаг 4. Использовать антивирусные средства для удаления вирусов и восстановления файлов, областей памяти. Если работоспособность ЭВМ восстановлена, то осуществляется переход к шагу 8, иначе - к шагу 5.

Шаг 5. Осуществить полное стирание и разметку (форматирование) несъемных внешних запоминающих устройств. В ПЭВМ для этого могут быть использованы программы MS-DOS FDISK и FORMAT. Программа форматирования FORMAT не удаляет главную загрузочную запись на жестком диске, в которой может находиться загрузочный вирус [55]. Поэтому необходимо выполнить программу FDISK с недокументированным параметром MBR, создать с помощью этой же программы разделы и логические диски на жестком диске. Затем выполняется программа FORMAT для всех логических дисков.

Шаг 6. Восстановить ОС, другие программные системы и файлы с дистрибутивов и резервных копий, созданных до заражения.

Шаг 7. Тщательно проверить файлы, сохраненные после обнаружения заражения, и, при необходимости, удалить вирусы и восстановить файлы;

Шаг 8. Завершить восстановление информации всесторонней проверкой ЭВМ с помощью всех имеющихся в распоряжении пользователя антивирусных средств.

При выполнении рекомендаций по профилактике заражения компьютерными вирусами, а также при умелых и своевременных действиях в случае заражения .вирусами, ущерб информационным ресурсам КС может быть сведен к минимуму.

Контрольные вопросы

1. Назовите признаки классификации компьютерных вирусов.
2. Поясните принцип действия «стелс»-вирусов и полиморфных вирусов.
3. Приведите структуру файлового вируса и поясните алгоритм его работы.
4. В чем заключаются особенности алгоритмов функционирования макровирусов и загрузочных вирусов?
5. Дайте характеристику методов обнаружения вирусов.
6. Назовите методы удаления последствий заражения вирусами.
7. Перечислите профилактические меры предотвращения заражения вирусами КС.
8. Приведите порядок действий пользователя при заражении ЭВМ.

ГЛАВА 11. Защита информации в распределенных КС

11.1. Архитектура распределенных КС

Под распределенными понимаются КС, которые не располагаются на одной контролируемой территории, на одном объекте.

В общем случае распределенная компьютерная система (РКС) представляет собой множество сосредоточенных КС, связанных в единую систему с помощью коммуникационной подсистемы. Сосредоточенными КС могут быть отдельные ЭВМ, в том числе и ПЭВМ, вычислительные системы и комплексы, а также локальные вычислительные сети (ЛВС). В настоящее время практически не используются неинтеллектуальные абонентские пункты, не имеющие в своем составе ЭВМ. Поэтому правомочно считать, что наименьшей структурной единицей РКС является ЭВМ (рис. 24). Распределенные КС строятся по сетевым технологиям представляют собой вычислительные сети (ВСт). Коммуникационная подсистема включает в себя:

• коммуникационные модули (КМ);
• каналы связи;
• концентраторы;
• межсетевые шлюзы (мосты).

Основной функцией коммуникационных модулей является передача полученного пакета к другому КМ или абонентском пункту в соответствии с маршрутом передачи. Коммуникационный модуль называют также центром коммутации пакетов.

Каналы связи объединяют элементы сети в единую сеть, каналы могут иметь различную скорость передачи данных. Концентраторы используются для уплотнения информации перед передачей ее по высокоскоростным каналам. Межсетевые шлюзы и мосты используются для связи сети с ЛВС или для связи сегментов глобальных сетей. С помощью мостов связываются сегменты сети с одинаковыми сетевыми протоколами.

В любой РКС в соответствии с функциональным назначение может быть выделено три подсистемы:

• пользовательская подсистема;
• подсистема управления;
• коммуникационная подсистема.

Пользовательская или абонентская подсистема включает в себя компьютерные системы пользователей (абонентов) и предназначается для удовлетворения потребностей пользователей в хранении, обработке и получении информации

Рис. 24. Фрагмент распределенной компьютерной системы

Наличие подсистемы управления позволяет объединить все элементы РКС в единую систему, в которой взаимодействие элементов осуществляется по единым правилам. Подсистема обеспечивает взаимодействие элементов системы путем сбора и анализа служебной информации и воздействия на элементы с целью создания оптимальных условий для функционирования всей сети.

Коммуникационная подсистема обеспечивает передачу информации в сети в интересах пользователей и управления РКС.

Функционирование РКС можно рассматривать как взаимодействие удаленных процессов через коммуникационную подсистему. Процессы вычислительной сети порождаются пользователями (абонентами) и другими процессами. Взаимодействие удаленных процессов заключается в обмене файлами, пересылке сообщений по электронной почте, посылке заявок на выполнение программ и получение результатов, обращении к базам данных и т. д.

11.2. Особенности защиты информации в РКС

С точки зрения защиты информации в РКС важно разделить вычислительные сети на корпоративные и общедоступные. В корпоративных сетях все элементы принадлежат одному ведомству за исключением, может быть, каналов связи. В таких сетях имеется возможность проводить единую политику обеспечения безопасности информации во всей сети. Примерами таких корпоративных сетей могут служить сети государственного и военного управления, сети авиационных и железнодорожных компаний и др. Противоположностью таким сетям являются общедоступные коммерческие сети, в которых во главу угла ставится распространение информации, а вопросы защиты собственных информационных ресурсов решаются, в основном, на уровне пользователей. В качестве примера такой сети можно привести сеть Internet. Корпоративные сети могут быть связаны с общедоступными сетями. В этом случае администрации (владельцам) корпоративных сетей необходимо предпринимать дополнительные меры предосторожности для блокирования возможных угроз со стороны общедоступных сетей.

При построении системы защиты информации в любой распределенной КС необходимо учитывать:

• сложность системы, которая определяется как количеством подсистем, так и разнообразием их типов и выполняемых функций;
• невозможность обеспечения эффективного контроля за доступом к ресурсам, распределенным на больших расстояниях, возможно за пределами границ страны;
• возможность принадлежности ресурсов сети различным владельцам.

Особенностью защиты информации от непреднамеренных угроз в РКС по сравнению с сосредоточенными сетями является необходимость обеспечения гарантированной передачи информации по коммуникационной подсети. Для этого в РКС должны быть предусмотрены дублирующие маршруты доставки сообщений, предприняты меры против искажения и потери информации в каналах связи. Такие сложные системы должны строиться как адаптивные, в которых обеспечивается постоянный контроль работоспособности элементов системы и возможность продолжения функционирования даже в условиях отказов отдельных подсистем. Искажения информации в каналах связи фиксируются и частично исправляются с помощью помехоустойчивого кодирования. Потери информации исключаются за счет использования контроля и учета принятых сообщений, а также за счет применения протоколов обмена с подтверждением о приеме информации.

В РКС все потенциальные преднамеренные угрозы безопасности информации делят на две группы: пассивные и активные.

К пассивным относятся угрозы, целью реализации которых является получение информации о системе путем прослушивания каналов связи. Подключившись к каналам связи или являясь пользователем системы, злоумышленник может:

• получить информацию путем перехвата незашифрованных сообщений;
• анализировать трафик (поток сообщений), накапливая информацию об интенсивности обмена отдельных абонентов, о структуре сообщений, о маршрутах доставки сообщений и т. п.

Активные угрозы предусматривают воздействие на передаваемые сообщения в сети и несанкционированную передачу фальсифицированных сообщений с целью воздействия на информационные ресурсы объектов РКС и дестабилизацию функционирования системы. Возможно также непосредственное воздействие на коммуникационную подсистему с целью повреждения аппаратных средств передачи информации.

Передаваемые в РКС сообщения могут несанкционированно модифицироваться или уничтожаться. Злоумышленник может Размножать перехваченные сообщения, нарушать их очередность следования, изменять маршрут доставки, подменять сообщения. Злоумышленник может предпринять попытки несанкционированного доступа к информационным ресурсам удаленного объекта КС, осуществления несанкционированного изменения программной структуры КС путем внедрения вредительских программ.

Анализируя приведенные особенности потенциальных угроз безопасности информации в РКС, можно сделать вывод, что все они связаны с передачей информации по каналам связи, с территориальной разобщенностью объектов системы. Таким образом, в РКС наряду с мерами, предпринимаемыми для обеспечения безопасности информации в сосредоточенных КС, реализуется ряд механизмов для защиты информации при передаче ее по каналам связи, а также для защиты от несанкционированного воздействия на информацию КС с использованием каналов связи.

Все методы и средства, обеспечивающие безопасность информации в защищенной вычислительной сети, могут быть распределены по группам:

• обеспечение безопасности информации в пользовательской подсистеме и специализированных коммуникационных КС;
• защита информации на уровне подсистемы управления сетью;
• защита информации в каналах связи;
• обеспечение контроля подлинности взаимодействующих процессов.

11.3. Обеспечение безопасности информации в пользовательской подсистеме и специализированных коммуникационных КС

Обеспечение безопасности информации на объектах РКС практически не отличается от решения такой задачи для сосредоточенных систем. Особенностью защиты объектов РКС является необходимость поддержки механизмов аутентификации и разграничения доступа удаленных процессов к ресурсам объекта, а также наличие в сети специальных коммуникационных компьютерных систем. Учитывая важность проблемы подтверждения подлинности удаленных процессов (пользователей), механизмы ее решения выделены в отдельную группу.

Все элементы коммуникационной подсистемы, за исключением каналов связи, рассматриваются как специализированные коммуникационные компьютерные системы. В защищенных корпоративных сетях концентраторы, коммуникационные модули (серверы), шлюзы и мосты целесообразно размещать на объектах совместно с КС пользователей. Особенностью всех коммуникационных КС является информация, которая обрабатывается этими системами. В таких КС осуществляется смысловая обработка только служебной информации. К служебной относится адресная информация, избыточная информация для защиты сообщений от искажений, идентификаторы пользователей, метки времени, номера сообщений (пакетов), атрибуты шифрования и другая информация. Информация пользователей, заключенная в сообщениях (рабочая информация), на уровне коммуникационных КС рассматривается как последовательность бит, которая должна быть доставлена по коммуникационной подсистеме без изменений. Поэтому в таких системах имеется принципиальная возможность не раскрывать содержание рабочей информации. Она не должна быть доступной операторам и другому обслуживающему персоналу коммуникационных компьютерных систем для просмотра на экране монитора, изменения, уничтожения, размножения, запоминания в доступной памяти, получения твердой копии. Такая информация не должна сохраняться на внешних запоминающих устройствах после успешной передачи сообщения другому элементу коммуникационной подсистемы. В закрытых системах рабочая информация, кроме того, в пределах коммуникационной подсети циркулирует в зашифрованном виде.

Различают два вида шифрования в КС: шифрование в коммуникационной подсистеме - линейное - и межконцевое шифрование - абонентское [37]. Абонент перед отправкой осуществляет зашифрование сообщения с помощью симметричного или открытого ключа. На входе в коммуникационную подсистему сообщение подвергается линейному зашифрованию, даже если абонентское шифрование и не выполнялось. При линейном шифровании сообщение зашифровывается полностью, включая все служебные данные. Причем линейное шифрование может осуществляться в сети с разными ключами. В этом случае злоумышленник, имея один ключ, может получить доступ к информации, передаваемой ограниченном количестве каналов. Если используются различные ключи, то в коммуникационных модулях осуществляется расшифрование не только служебной информации, а всего сообщения полностью (рабочая информация остается зашифрованной на абонентском уровне). По открытой служебной информации осуществляется проверка целостности сообщения, выбор дальнейшего маршрута и передача «квитанции» отправителю. Сообщение подвергается зашифрованию с новым ключом и передается по соответствующему каналу связи.

Особые меры защиты должны предприниматься в отношении центра управления сетью. Учитывая концентрацию информации, критичной для работы всей сети, необходимо использовать самые совершенные средства защиты информации специализированной КС администратора сети как от непреднамеренных, так и преднамеренных угроз. Особое внимание должно обращаться на защиту процедур и средств, связанных с хранением и работой с ключами.

Администратор сети как и все операторы коммуникационной подсети, работает только со служебной информацией. Если в сети ключи для абонентского шифрования распределяются из центра управления сетью, то администратор может получить доступ ко всем ключам сети, а, следовательно, и ко всей передаваемой и хранимой в сети информации. Поэтому в специализированной КС администратора сети должны быть предусмотрены механизмы, блокирующие возможность работы с информационной частью сообщений, которые не предназначаются администратору.

Более надежным является способ управления ключами, когда они неизвестны ни администратору, ни абонентам. Ключ генерируется датчиком случайных чисел и записывается в специальное ассоциативное запоминающее устройство, и все действия с ним производятся в замкнутом пространстве, в которое оператор КС не может попасть с целью ознакомления с содержимым памяти. Нужные ключи выбираются из специальной памяти для отсылки или проверки в соответствии с идентификатором абонента или администратора.

При рассылке ключей вне РКС их можно записывать, например, на смарт-карты. Считывание ключа с таких карт возможно только при положительном результате аутентификации КС и владельца ключа.

11.4. Защита информации на уровне подсистемы управления РКС

Управление передачей сообщений осуществляется по определенным правилам, которые называются протоколами [37]. В настоящее время в распределенных вычислительных сетях реализуются два международных стандарта взаимодействия удаленных элементов сети: протокол ТСР/IP протокол Х.25.

Протокол ТСР/IP разработан в 70-е годы и с тех пор завоевал признание во всем мире. На основе протокола ТСР/IP построена сеть Internet. Протокол Х.25 явился дальнейшим развитием технологии передачи данных, построенной на основе коммутации пакетов. Протокол Х.25 создан в соответствии с моделью взаимодействия открытых сетей (ОSI) разработанной Международной организацией стандартизации (ISО). В соответствии с моделью все функции сети разбиваются на 7 уровней, а в модели ТСР насчитывается 5 уровней (рис. 25).

Протокол Х.25 позволяет обеспечить более надежное взаимодействие удаленных процессов. Достоинствами протокола ТСР являются сравнительно низкая стоимость и простота подключения к сети.

Задачи обеспечения безопасности информации в сети решаются на всех уровнях. Выполнение протоколов организуется с помощью подсистемы управления. Наряду с другими на уровне подсистемы управления решаются следующие проблемы защиты информации в РКС.

1. Создание единого центра управления сетью, в котором решались бы и вопросы обеспечения безопасности информации. Администратор и его аппарат проводят единую политику безопасности во всей защищенной сети.

2. Регистрация всех объектов сети и обеспечение их защиты. Выдача идентификаторов и учет всех пользователей сети.

3. У правление доступом к ресурсам сети.

4. Генерация и рассылка ключей шифрования абонентам компьютерной сети.

5. Мониторинг трафика (потока сообщений в сети), контроль соблюдения правил работы абонентами, оперативное реагирование на нарушения.

6. Организация восстановления работоспособности элементов сети при нарушении процесса их функционирования.

Рис. 25. Уровневые модели протоколов

11.5. Защита информации в каналах связи

Для защиты информации, передаваемой по каналам связи, применяется комплекс методов и средств защиты, позволяющих блокировать возможные угрозы безопасности информации. Наиболее надежным и универсальным методом защиты информации в каналах связи является шифрование. Шифрование на абонентском уровне позволяет защитить рабочую информацию от утраты конфиденциальности и навязывания ложной информации. Линейное шифрование позволяет, кроме того, защитить служебную информацию. Не имея доступа к служебной информации, злоумышленник не может фиксировать факт передачи между конкретными абонентами сети, изменить адресную часть сообщения с целью его переадресации.

Противодействие ложным соединениям абонентов (процессов) обеспечивается применением целого ряда процедур взаимного подтверждения подлинности абонентов или процессов. Против удаления, явного искажения, переупорядочивания, передачи дублей сообщений используется механизм квитирования, нумерации сообщений или использования информации о времени отправки сообщения. Эти служебные данные должны быть зашифрованы. Для некоторых РКС важной информацией о работе системы, подлежащей защите, является интенсивность обмена по коммуникационной подсети. Интенсивность обмена может быть скрыта путем добавления к рабочему трафику обмена специальными сообщениями. Такие сообщения могут содержать произвольную случайную информацию. Дополнительный эффект такой организации обмена заключается в тестировании коммуникационной подсети. Общий трафик с учетом рабочих и специальных сообщений поддерживается примерно на одном уровне.

Попыткам блокировки коммуникационной подсистемы путем интенсивной передачи злоумышленником сообщений или распространения вредительских программ типа «червь», в подсистеме управления РКС должны быть созданы распределенные механизмы контроля интенсивности обмена и блокирования доступа в сеть абонентов при исчерпании ими лимита активности или- в случае угрожающего возрастания трафика. Для блокирования угроз физического воздействия на каналы связи (нарушение линий связи или постановка помех в радиоканалах) необходимо иметь дублирующие каналы с возможностью автоматического перехода на их использование.

11.5.1. Межсетевое экранирование

На практике часто закрытые корпоративные распределенные и сосредоточенные КС связаны с общедоступными сетями типа Internet. Режимы взаимодействия пользователей закрытой РКС с общедоступной системой могут быть различны:

• с помощью общедоступной РКС связываются в единую систему закрытые сегменты корпоративной системы или удаленные абоненты;
• пользователи закрытой РКС взаимодействуют с абонентами общедоступной сети.

В первом режиме задача подтверждения подлинности взаимодействующих абонентов (процессов) решается гораздо эффективнее, чем во втором режиме. Это объясняется возможностью использования абонентского шифрования при взаимодействии КС одной корпоративной сети.

Если абоненты общедоступной сети не используют абонентское шифрование, то практически невозможно обеспечить надежную аутентификацию процессов, конфиденциальность информации, защиту от подмены и несанкционированной модификации сообщений.

Для блокирования угроз, исходящих из общедоступной системы, используется специальное программное или аппаратно-программное средство, которое получило название межсетевой экран (Firewall) (рис. 26). Как правило, межсетевой экран реализуется на выделенной ЭВМ, через которую защищенная РКС (ее фрагмент) подключается к общедоступной сети.

Рис. 26. Соединение сетей с помощью межсетевого экрана

Межсетевой экран реализует контроль за информацией, поступающей в защищенную РКС и (или) выходящей из защищенной системы [27].

Межсетевой экран выполняет четыре функции:

• фильтрация данных;
• использование экранирующих агентов;
• трансляция адресов;
• регистрация событий.

Основной функцией межсетевого экрана является фильтрация входного (выходного) трафика. В зависимости от степени защищенности корпоративной сети могут задаваться различные правила фильтрации. Правила фильтрации устанавливаются путем вы последовательности фильтров, которые разрешают или запрещают передачу данных (пакетов) на следующий фильтр или уровень протокола.

Межсетевой экран осуществляет фильтрацию на канальном, сетевом, транспортном и на прикладном уровнях. Чем большее количество уровней охватывает экран, тем он совершеннее. Межсетевые экраны, предназначенные для защиты информации высокой степени важности, должны обеспечивать [13]:

• фильтрацию по адресам отправителя и получателя (или по другим эквивалентным атрибутам);
• фильтрацию пакетов служебных протоколов, служащих для диагностики и управления работой сетевых устройств;
• фильтрацию с учетом входного и выходного сетевого интерфейса как средство проверки подлинности сетевых адресов;
• фильтрацию с учетом любых значимых полей сетевых пакетов
• фильтрацию на транспортном уровне запросов на установление виртуальных соединений;
• фильтрацию на прикладном уровне запросов к прикладным сервисам;
• фильтрацию с учетом даты и времени;
• возможность сокрытия субъектов доступа защищаемой компьютерной сети;
• возможность трансляции адресов.

В межсетевом экране могут использоваться экранирующие агенты (рrоху-серверы), которые являются программами-посредниками и обеспечивают установление соединения между субъектом и объектом доступа, а затем пересылают информацию, осуществляя контроль и регистрацию. Дополнительной функцией экранирующего агента является сокрытие от субъекта доступа истинного объекта. Действия экранирующего агента являются прозрачными для участников взаимодействия.

Функция трансляции адресов межсетевого экрана предназначена для скрытия от внешних абонентов истинных внутренних адресов. Это позволяет скрыть топологию сети и использовать большее число адресов, если их выделено недостаточно для защищенной сети.

Межсетевой экран выполняет регистрацию событий в специальных журналах. Предусматривается возможность настройки экрана на ведение журнала с требуемой для конкретного применения полнотой. Анализ записей позволяет зафиксировать попытки нарушения установленных правил обмена информацией в сети и выявить злоумышленника.

Экран не является симметричным. Он различает понятия: «снаружи» и «внутри». Экран обеспечивает защиту внутренней области от неконтролируемой и потенциально враждебной внешней среды. В то же время экран позволяет разграничить доступ к объектам общедоступной сети со стороны субъектов защищенной сети. При нарушении полномочий работа субъекта доступа блокируется, и вся необходимая информация записывается в журнал.

Межсетевые экраны могут использоваться и внутри защищенных корпоративных сетей. Если в РКС имеются фрагменты сети с различной степенью конфиденциальности информации, то такие фрагменты целесообразно отделять межсетевыми экранами. В этом случае экраны называют внутренними.

В зависимости от степени конфиденциальности и важности информации установлены 5 классов защищенности межсетевых экранов [13]. Каждый класс характеризуется определенной минимальной совокупностью требований по защите информации. Самый низкий класс защищенности - пятый, а самый высокий -первый. Межсетевой экран первого класса устанавливается при обработке информации с грифом «особой важности».

Межсетевые экраны целесообразно выполнять в виде специализированных систем. Это должно повысить производительность таких систем (весь обмен осуществляется через экран), а также повысить безопасность информации за счет упрощения структуры. Учитывая важность межсетевых экранов в обеспечении безопасности информации во всей защищенной сети, к ним предъявляются высокие требования по разграничению доступа, обеспечению целостности информации, восстанавливаемости, тестированию и т. п. Обеспечивает работу межсетевого экрана администратор. Желательно рабочее место администратора располагать непосредственно у межсетевого экрана, что упрощает идентификацию и аутентификацию администратора, а также упрощает выполнение функций администрирования.

В сетях с большой интенсивностью обмена межсетевой экран быть реализован на двух и более ЭВМ, которые целесообразно размещать на одном объекте. Функции межсетевого экрана и шлюза (моста) могут быть реализованы на одной КС. На практике часто фрагменты защищенной сети связываются между собой через общедоступную сеть. Все фрагменты подключаются к общедоступной сети через межсетевые экраны.

11.5.2. Подтверждение подлинности взаимодействующих процессов

Одной из центральных проблем обеспечения безопасности информации в вычислительной сети является проблема взаимоподтверждения подлинности взаимодействующих процессов. Логическую связь взаимодействующих процессов определяют термином соединение. Процедура аутентификации выполняется обычно в начале взаимодействия в процессе установления соединения.

Удаленные процессы до начала взаимодействия должны убедиться в их подлинности. Взаимная проверка подлинности взаимодействующих процессов может осуществляться следующими способами [26]:

• обмен идентификаторами;
• процедура «рукопожатия»;
• аутентификация при распределении ключей.

Обмен идентификаторами применим, если в сети используется симметричное шифрование. Зашифрованное сообщение, содержащее идентификатор, однозначно указывает, что сообщение создано пользователем, который знает секретный ключ шифрования и личный идентификатор. Существует единственная возможность для злоумышленника попытаться войти во взаимодействие с нужным процессом - запоминание перехваченного сообщения с последующей выдачей в канал связи. Блокирование такой угрозы осуществляется с помощью указания в сообщении времени отправки сообщения. При проверке сообщения достаточно просмотреть журнал регистрации сеансов в КС получателя сообщения. Вместо времени может использоваться случайное число, которое генерируется перед каждой отправкой.

Различают два варианта выполнения процедуры «рукопожатия»: обмен вопросами и ответами, а также использование функции f, известной только процессам, устанавливающим взаимодействие. Процессы обмениваются вопросами, ответы на которые не должны знать посторонние. Вопросы могут касаться, например, биографических данных субъектов, в интересах которых инициированы процессы.

Алгоритм использования функции f для аутентификации процессов А и В представляет собой последовательность следующих шагов [26]:

Шаг 1. Процесс А генерирует величину х и отсылает ее процессу В.

Шаг 2. Процесс В по секретному алгоритму вычисляет функцию у = f(х) и отсылает ее процессу А.

Шаг 3. Процесс А вычисляет функцию у = f(х) и сравнивает ее с полученной от процесса В.

Если результаты сравнения положительны, то делается вывод о подлинности взаимодействующих процессов.

Процедура установления подлинности осуществляется также при распределении сеансовых ключей. Распределение ключей является одной из процедур управления ключами. Можно выделить следующие процедуры управления ключами: генерация, распределение, хранение и смена ключей.

Обычно выделяют две категории ключей: ключи шифрования данных и ключи шифрования ключей при передаче их по каналам связи и хранении. Многократное использование одного и того же ключа повышает его уязвимость, поэтому ключи шифрования данных должны регулярно сменяться. Как правило, ключи шифрования данных меняются в каждом сеансе работы и поэтому их называют сеансовыми ключами.

В процессе генерации ключи должны получаться случайным образом. Этому требованию в наибольшей степени отвечает генератор псевдослучайной последовательности, использующий в качестве исходных данных показания таймера.

Секретные ключи хранятся в запоминающем устройстве только в зашифрованном виде. Ключ от зашифрованных ключей может быть зашифрован с помощью другого ключа. Последний ключ хранится в открытом виде, но в специальной памяти. Он не может быть считан, просмотрен, изменен или уничтожен в обычном режиме работы. Этот ключ называется главным или мастер-ключем.

Проблема распределения симметричных ключей в больших сетях не является тривиальной. Каждой паре взаимодействующих абонентов сети необходимо доставить по одному одинаковому ключу. Если необходимо предусмотреть возможность независимого обмена абонентов по принципу: "каждый с каждым", то в сети из 200 абонентов необходимо каждому из них доставить 199 мастер-ключей. Тогда в ЦРК необходимо сгенерировать N ключей. Количество ключей определяется по формуле:

,

где n - количество абонентов сети. При n = 200 получается N = 9900.

Мастер-ключи при симметричном шифровании и секретные ключи при несимметричном шифровании распространяются вне РКС. При большом числе абонентов и их удалении на значительные расстояния друг от друга задача распространения мастер-ключей является довольно сложной. При несимметричном шифровании количество секретных ключей равно количеству абонентов сети. Кроме того, использование несимметричного шифрования не требует распределения сеансовых ключей, что сокращает обмен служебной информацией в сети. Списки открытых ключей всех абонентов могут храниться у каждого абонента сети. Однако у симметричного шифрования есть и два существенных преимущества. Симметричное шифрование, например, по алгоритму DES занимает значительно меньше времени по сравнению с алгоритмами несимметричного шифрования.

В системах с симметричным шифрованием проще обеспечивать взаимное подтверждение подлинности абонентов (процессов). Знание секретного ключа, общего для двух взаимодействующих процессов, дополненное защитными механизмами от повторной передачи, является основанием считать взаимодействующие процессы подлинными.

Совместить достоинства обоих методов шифрования удалось благодаря разработке У. Диффи и М. Хеллманом метода получения секретного сеансового ключа на основе обмена открытыми ключами (рис. 27). По известному виду и значениям функций f(x) и f(y) при больших значениях х, у, а и р (больше 200 бит) практически невозможно за приемлемое время восстановить секретные ключи х и у.

Рис. 27. Схема получения секретного сеансового ключа К

Распределение ключей в сети между пользователями реализуется двумя способами:

1. Путем создания одного или нескольких центров распределения ключей (ЦРК).
2. Прямой обмен сеансовыми ключами между абонентами сети.

Недостатком первого способа является наличие возможности доступа в ЦРК ко всей передаваемой по сети информации. В случае организации прямого обмена сеансовыми ключами возникают сложности в проверке подлинности процессов или абонентов.

Распределение ключей совмещается с процедурой проверки подлинности взаимодействующих процессов.

Протоколы распределения ключей для систем с симметричными и несимметричными ключами отличаются.

А. Проверка подлинности процессов при распределении ключей с использованием ЦРК

Пусть вызывающий процесс обозначается через А, а вызываемый - через В. Оба процесса (абонента) имеют идентификаторы I_A и I_B. Абоненты имеют также мастер-ключи КМ_А и КМ_B, известные только соответственно А и В, а также ЦРК. Мастер-ключи распределяются между абонентами вне РКС. Это может быть специальная почта, другие автоматизированные системы и т. п.

Абонент А посылает в ЦРК в открытом виде идентификатор I_А и зашифрованные на КМА идентификатор I_B, случайное число r₁ и просьбу обеспечить связь с В [26]:

1. А→ЦРК: I_А, КМ_А (I_B, r₁ «Прошу установить связь с В»).

По открытому идентификатору I_A соответствующая процедура обеспечивает выбор мастер-ключа КМ_A, расшифровывает сообщение, а затем генерируется сеансовый ключ К_s и отсылается зашифрованное сообщение А:

2. ЦРК→А: КМ_А (r₁ К_s, I_В, КМ_В (Кs, I_А))

Это сообщение может расшифровать только абонент А, имеющий ключ КМ_А. Случайное число r₁ подтверждает, что полученное сообщение не является повторным, а выдано ЦРК в ответ на сообщение А. Абонент А оставляет у себя K_s, генерирует случайное число r₂ и отправляет сообщение абоненту В:

3. А→В: КМ_В (Кs, I_А), К_s(r₂).

Сообщение может расшифровать только В. Полученный идентификатор I_А указывает, что именно абонент А инициирует сеанс связи. Часть сообщения, зашифрованная мастер-ключом КМ_В, подтверждает, что сеансовый ключ К_s получен в ЦРК. Абонент В расшифровывает с помощью К_s случайное число r₂. Если используется односторонняя процедура подтверждения подлинности, то абонент В передает абоненту А сообщение:

4. В→А: К_s(f(r₂)).

Такая процедура не обеспечивает полной уверенности В в том, что именно А является действительным инициатором обмена. Так существует возможность попытки повторной посылки сообщения 4 злоумышленником С позднее. Такое воздействие практически не будет иметь отрицательных последствий для В, так как у С нет сеансового ключа К_s. Он не сможет ни прочесть сообщение В, ни дослать ему фальсифицированное сообщение. Чтобы исключить и такую возможность, необходимо использовать процедуру тройного «рукопожатия». Тогда вместо сообщения 4 абонент В посылает А следующее сообщение:

4'. В→А: К_s(r₂, r₃), где r₃ - случайное число.

В ответ А передает сообщение, подтверждающее его подлинность:

5. А→В: К_s(r₃)

Если все шаги выполнены успешно, то считается, что абоненты А и В - подлинные, и они могут проводить сеанс обмена сообщениями с помощью ключа К_s.

Недостатками такого алгоритма проверки подлинности и распределения ключей являются:

• большая нагрузка на ЦРК, так как при каждом сеансе осуществляется обращение к ЦРК;
• очень высокие требования предъявляются к защищенности и отказоустойчивости ЦРК.

Процедура взаимного подтверждения подлинности в системах с открытым ключом также заключается в обмене ключами и последующем подтверждении подлинности. Администратор ЦРК имеет доступ к открытому ключу КО_ЦРК и закрытому ключу КЗ_ЦРК, а также к открытым ключам всех абонентов сети. Абонент А обращается с запросом в ЦРК для получения своего открытого ключа и открытого ключа вызываемого абонента В:

1. А→ЦРК: I_A, I_B, «Вышлите ключи».

В ответ на полученный запрос ЦРК формирует сообщение, зашифрованное с помощью закрытого ключа ЦРК. Отдельно зашифровывается открытый ключ А и его идентификатор, а также открытый ключ абонента В и его идентификатор.

2. ЦРК→А: КЗ_ЦРК (КО_А, I_А), КЗ_ЦРК(КО_В, I_В).

Абонент А расшифровывает сообщение с помощью открытого ключа КО_ЦРК, который доставлен ему надежным путем. Полученные идентификаторы абонентов А и В подтверждают, что ЦРК правильно воспринял запрос и КО_B - открытый ключ абонента В.

На следующем шаге процедуры абонент А посылает абоненту В сообщение, в котором сгенерированное число r₁ и идентификатор I_А зашифрованы открытым ключом КО_B, а открытый ключ КО_А и идентификатор I_А зашифрованы закрытым ключом ЦРК.

3. А→В: КО_В(r₁, I_А), КЗ_ЦРК(КО_А, I_А).

Абонент В расшифровывает первую часть сообщения с помощью своего закрытого ключа КЗ_B, а вторую часть - с помощью открытого ключа КО_ЦРК. На основании полученной информации абонент В делает вывод, что связь с ним устанавливает абонент А, что подтверждается зашифрованием открытого ключа А и его идентификатора с помощью секретного ключа ЦРК КЗ_ЦРК. После шага 3 абоненты А и В имеют по два открытых ключа. Если используется одностороннее подтверждение подлинности, то на последнем шаге В посылает сообщение:

4. В→А: КО_А(f(r₁)).

Если расшифрованное число r₁ совпадает с тем, которое посылалось абоненту В, то абонент А получает подтверждение подлинности абонента В, так как число r₁ при передаче по сети было зашифровано открытым ключом абонента В и могло быть расшифровано только владельцем закрытого ключа абонента В. Если используется процедура взаимного подтверждения подлинности, то осуществляется трехстороннее «рукопожатие». Тогда на четвертом шаге абонент В, наряду с числом r₁ передает абоненту А сгенерированное им случайное число r₂.

4'. В→А: КО_А(r₁, r₂).

В ответ абонент А передает сообщение:

5. А→В: КО_В(r₂).

Вместо случайных чисел в процедуре взаимного подтверждения могут использоваться временные метки. Если сообщение принимается после истечения контрольного интервала времени от создания сообщения до его получения, то такое сообщение считается фальсифицированным. Реализация такой процедуры затрудняется в больших сетях. Во-первых, в них сложнее поддерживать единое время. Во-вторых, разброс во времени доставки может колебаться в довольно широких пределах. Это связано с возможными изменениями маршрутов, а также повторных передач при сбоях в каналах связи.

Примером реальной системы, в которой реализован принцип Подтверждения подлинности процессов при распределении ключей с использованием ЦРК, является вычислительная сеть со специальным сервером аутентификации Кеrberos. Клиентские компоненты Кеrberos присутствуют в большинстве современных операционных систем (наиболее полно в ОС Solaris). В защищенном сервере Кеrberos хранятся секретные ключи всех абонентов сети.

Процедура подтверждения подлинности клиента с и сервера s реализуется следующей последовательностью шагов.

1. Клиент с→Kerberos: I_с, s₁, timeexp, r₁.

Клиент с передает Kerberos в открытом виде свой идентификатор I_с, запрашиваемый сервис s₁, срок годности билета timeexp и случайное число r₁.

2. Kerberos→клиент с: К_c(К_cs, timeexp, r₁); К_s(К_сs).

Kerberos возвращает сеансовый ключ К_сs, идентификатор сервера I_s, атрибуты timeexp и r₁, зашифрованные ключом клиента, а также сеансовый ключ К_cs, зашифрованный ключом сервера с.

3. Клиент с→сервер s: К_cs(I_c, ts, ck); К_s(К_cs).

Клиент посылает серверу свой идентификатор I_с, временной штамп ts и контрольную сумму ck, зашифрованные сеансовым ключом, а также пересылает без изменений зашифрованный ключ К_s (К_сs), который называется билетом.

4. Сервер s→клиент с: К_cs(I_s, ts).

Сервер подтверждает свою подлинность, возвращая дополнительную информацию, зашифрованную сеансовым ключом.

Каждый сервер Kerberos обслуживает определенную область управления. Чтобы субъекты из различных областей управления могли общаться друг с другом, серверам Kerberos необходимо обмениваться секретными ключами.

Б. Проверка подлинности взаимодействующих процессов при прямом обмене сеансовыми ключами

Необходимо рассмотреть процедуры проверки подлинности при прямом обмене с секретным и открытым ключом [26].

1. Процедура подтверждения подлинности при взаимном обмене с секретным ключом.

Абоненты А и В используют общий для них секретный ключ К_AB, полученный ранее (вне РКС). Процедура выполняется за три шага.

1. А→В: I_А, r₁.

На первом шаге инициатор обмена абонент А передает в открытом виде абоненту В свой идентификатор I_А и случайное число r₁. Это сообщение могло быть послано любым абонентом сети.

2. В→А: К_АВ(f(r₁), I_B, r₂, К_s).

На шаге 2 абонент В генерирует случайное число r₂ и сеансовый ключ K_s, посылает А сообщение, зашифрованное общим секретным ключом К_AB. Абонент может быть уверен, что сообщение пришло от В, т. к. только ему известен ключ К_АВ. Функция f(r₁) подтверждает, что сообщение получено в ответ на сообщение 1, а не является повтором старого сообщения.

3. А→В: К_s(f(r₂)).

На шаге 3 абонент А подтверждает, что сеансовый ключ находится именно у него. На этом процедура завершается.

Процедура подтверждения подлинности в процессе двустороннего распределения сеансового ключа в сети с применением открытых ключей также выполняется за три шага.

1. А→В: КО_B(r₁, I_А).

На первом шаге абонент зашифровывает сообщение для В с помощью открытого ключа КО_В. Случайное число r₁ и идентификатор абонента А может прочесть только абонент В с помощью секретного личного ключа.

2. В→А: КО_A(f(r₁), r₂, I_B, К_s).

На втором шаге абонент вычисляет функцию f(r₁), генерирует случайное число r₂ и сеансовый ключ К_s и зашифровывает все сообщение с помощью открытого ключа абонента А. Абонент А делает вывод, что сообщение 1 получено абонентом В.

3. А→В: К_s(f(r₂)).

Взаимное опознание заканчивается на шаге 3 получением зашифрованной функции f(r₂). Абонент В убеждается, что сеансовый ключ передан именно абоненту А.

Если даже сеансовые ключи передаются, минуя РКС, то распределение мастер-ключей и индивидуальных ключей абонентов в защищенной корпоративной сети осуществляется ЦРК.

11.6. Подтверждение подлинности информации, получаемой по коммуникационной подсети

После установления соединения необходимо обеспечить защиту от фальсификации в процессе обмена сообщениями. Для этого требуется обеспечить выполнение следующих четырех условий [26]:

1. получатель должен быть уверен в истинности источника данных;
2. получатель должен быть уверен в истинности представляемых данных;
3. отправитель должен быть уверен в доставке данных получателю;
4. отправитель должен быть уверен в истинности полученного подтверждения о приеме информации.

Подтверждение истинности источника данных и истинности передаваемых (доставленных) данных осуществляется с помощью цифровой подписи. Подтверждение приема сообщений обеспечивается организацией режима передачи квитанций. Квитанция представляет собой короткое сообщение, содержащее контрольную информацию о принятом сообщении и электронную подпись. В качестве контрольной информации могут использоваться зашифрованные данные о номере полученного сообщения и времени получения, а также цифровая подпись отправителя рабочего сообщения. Получив такую квитанцию, заверенную цифровой подписью, отправитель делает вывод об успешной передаче сообщения.

Цифровая подпись сообщения представляет собой контрольную двоичную последовательность. Она получается путем специальных преобразований хэш-функции от данных сообщения и секретного ключа отправителя сообщения. Таким образом цифровая подпись, с одной стороны, несет в себе контрольную характеристику (хэш-функцию) содержимого сообщения, а с другой - однозначно указывает на связь содержимого сообщения и владельца секретного ключа. Использование хэш-функции позволяет зафиксировать подмену или модификацию данных сообщения. Порядок получения хэш-функции приведен в гл. 7. При удовлетворительных результатах проверки цифровой подписи получатель может быть уверен, что полученное сообщение пришло от субъекта, владеющего секретным ключом, и содержательная часть сообщения не подвергалась изменениям. Если цифровая подпись получается в соответствии с официальным государственным стандартом, то она имеет юридическую силу обычной подписи под документом.

Впервые идею цифровой подписи предложили в 1976 году американские специалисты У. Диффи и М. Хеллман. В настоящее время для получения цифровой подписи используются методы, применяемые в шифровании с несимметричными ключами.

Первым по времени изобретения алгоритмом цифровой подписи был разработанный в 1977 году алгоритм RSA. Предложенный в 1984 году алгоритм Т. Эль-Гамаля позволял повысить стойкость подписи при ключе в 64 байта примерно в 1000 раз, но длина самой цифровой подписи увеличивалась в два раза и составляла 128 байт.

Алгоритм Эль-Гамаля послужил основой для разработки национального стандарта США DSА, введенного в 1991 году, и государственного стандарта РФ ГОСТ Р 34.10-94, введенного в действие с 1995 года. В алгоритме DSA удалось сократить длину цифровой подписи до 40 байт при сохранении ее стойкости на прежнем уровне. Дальнейшим развитием стандарта DSA стал стандарт США DSS.

Российский стандарт ГОСТ Р 34.10 схож со стандартом DSS, но предполагает более сложный алгоритм вычисления хэш-функции. Стандартом ГОСТ Р 34.10 определен следующий алгоритм вычисления цифровой подписи и аутентификации сообщения. Отправитель и получатель сообщения имеют в своем распоряжении некоторые открытые атрибуты создания и проверки цифровой подписи: начальный вектор хэширования Н и параметры р, g и а. Параметры вычисляются в соответствии с процедурой ГОСТ. Отправитель выбирает свой секретный ключ х и вычисляет открытый ключ y = а^х (mod р). Открытый ключ у отсылается получателю. Секретный ключ выбирается из интервала 0 < х < 2²⁵⁶. Число k генерируется в процессе получения подписи сообщения, является секретным и должно быть уничтожено после выработки подписи. Упрощенный алгоритм процедуры выработки подписи включат следующие шаги.

1. Вычисление хэш-функции h(М) от сообщения М.
2. Получение целого числа k, 0 < k < g.
3. Вычисление значений r = а^k (mod р) и r' = r (mod g). Если r' = 0, перейти к шагу 2.
4. Вычисление значения s = (хr'+kh (М)) (mod g). Если s = 0, то переход к шагу 2, иначе конец работы алгоритма.

Цифровой подписью сообщения М является вектор <r'>₂₅₆||<s>₂₅₆, который состоит из двух двоичных слов по 256 бит каждое, т. е. длина цифровой подписи составляет 512 бит.

Для проверки подписи (верификации сообщения) получатель сообщения выполняет следующие шаги.

1. Проверка условий: о < s < g и о < r' < g. Если хотя бы одно условие не выполнено, то подпись считается недействительной.
2. Определяется хэш-функция h(М1) от полученного сообщения М1.
3. Вычисляется значение v = (h(М₁))^g-2(mod g).
4. Вычисляются значения z₁ = sv(mod g), z₂ = (g-r')v(mod g).
5. Вычисление значения u = (а^z1 у^z2 (mod р))(mod g).
6. Проверка условия: r' = u.

Если условие выполнено, то получатель считает, что полученное сообщение подписано отправителем, от которого был получен ключ у. Кроме того, получатель считает, что в процессе передачи целостность сообщения не нарушена. В противном случае подпись считается недействительной и сообщение отвергается.

Имея открытые атрибуты цифровой подписи и тексты открытых сообщений, определить секретный ключ х можно только путем полного перебора. Причем при длине цифровой подписи 40 байт стандарт DSA гарантирует число комбинаций ключа 1021. Для получения ключа перебором потребуется 30 лет непрерывной работы 1000 компьютеров производительностью 1 млрд. операций в секунду.

Использование цифровой подписи для аутентификации коротких сообщений, подтверждающих прием информационных сообщений, существенно увеличивает длину служебного подтверждающего сообщения. Для подписи служебного сообщения может быть использована подпись полученного информационного сообщения, модифицированная по определенному алгоритму. Например, выбраны разряды по маске. Если в сети реализован режим передачи пакетов, то цифровая подпись передается в конце всего сообщения, а не с каждым пакетом. Иначе трафик в сети увеличится. Степень увеличения трафика будет зависеть от длины пакета. При длине информационной части пакета в 2048 бит использование цифровой подписи каждого пакета привело бы к возрастанию трафика примерно на 25%.

При организации электронной почты необходимо учитывать особенности подтверждения полученных сообщений. Получатель в момент передачи сообщения может быть не активным. Поэтому следует организовать отложенную проверку подлинности сообщения и передачу подтверждения.

11.7. Особенности защиты информации в базах данных

Базы данных рассматриваются как надежное хранилище структурированных данных, снабженное специальным механизмом для их эффективного использования в интересах пользователей (процессов). Таким механизмом является система управления базой данных (СУБД). Под системой управления базой данных понимаются программные или аппаратно-программные средства, реализующие функции управления данными, такие как: просмотр, сортировка, выборка, модификация, выполнение операций определения статистических характеристик и т. п. Базы данных размещаются:

• на компьютерной системе пользователя;
• на специально выделенной ЭВМ (сервере).

Как правило, на компьютерной системе пользователя размещаются личные или персональные базы данных, которые обслуживают процессы одного пользователя.

В вычислительных сетях базы данных размещаются на серверах. В локальных и корпоративных сетях, как правило, используются централизованные базы данных. Общедоступные глобальные сети имеют распределенные базы данных. В таких сетях серверы размещаются на различных объектах сети. В качестве серверов часто используются специализированные ЭВМ, приспособленные к хранению больших объемов данных, обеспечивающие сохранность и доступность информации, а также оперативность обработки поступающих запросов. В централизованных базах Данных проще решаются проблемы защиты информации от преднамеренных угроз, поддержания актуальности и непротиворечивости данных. Достоинством распределенных баз данных, при Условии дублирования данных, является их высокая защищенность от стихийных бедствий, аварий, сбоев технических средств, а также диверсий.

Защита информации в базах данных, в отличие от защиты данных в файлах, имеет и свои особенности:

• необходимость учета функционирования системы управления базой данных при выборе механизмов защиты;
• разграничение доступа к информации реализуется не на уровне файлов, а на уровне частей баз данных.

При создании средств защиты информации в базах данных необходимо учитывать взаимодействие этих средств не только с ОС, но и с СУБД. При этом возможно встраивание механизмов защиты в СУБД или использование их в виде отдельных компонент. Для большинства СУБД придание им дополнительных функций возможно только на этапе разработки СУБД. В эксплуатируемые системы управления базами данных дополнительные компоненты могут быть внесены путем расширения или модификации языка управления. Таким путем можно осуществлять наращивание возможностей, например, в СУБД СА-Сliрреr 5.0.

В современных базах данных довольно успешно решаются задачи разграничения доступа, поддержания физической целостности и логической сохранности данных. Алгоритмы разграничения доступа к записям и даже к полям записей в соответствии с полномочиями пользователя хорошо отработаны, и преодолеть эту защиту злоумышленник может лишь с помощью фальсификации полномочий или внедрения вредительских программ. Разграничение доступа к файлам баз данных и к частям баз данных осуществляется СУБД путем установления полномочий пользователей и контроля этих полномочий при допуске к объектам доступа.

Полномочия пользователей устанавливаются администратором СУБД. Обычно стандартным идентификатором пользователя является пароль, передаваемый в зашифрованном виде. В распределенных КС процесс подтверждения подлинности пользователя дополняется специальной процедурой взаимной аутентификации удаленных процессов. Базы данных, содержащих конфиденциальную информацию, хранятся на внешних запоминающих устройствах в зашифрованном виде.

Физическая целостность баз данных достигается путем использования отказоустойчивых устройств, построенных, например, по технологии RAID. Логическая сохранность данных означает невозможность нарушения структуры модели данных. Современные СУБД обеспечивают такую логическую целостность и непротиворечивость на этапе описания модели данных.

В базах данных, работающих с конфиденциальной информацией, необходимо дополнительно использовать криптографические средства закрытия информации. Для этой цели используется шифрование как с помощью единого ключа, так и с помощью индивидуальных ключей пользователей. Применение шифрования с индивидуальными ключами повышает надежность механизма разграничения доступа, но существенно усложняет управление.

Возможны два режима работы с зашифрованными базами данных. Наиболее простым является такой порядок работы с закрытыми данными, при котором для выполнения запроса необходимый файл или часть файла расшифровывается на внешнем носителе, с открытой информацией производятся необходимые действия, после чего информация на ВЗУ снова зашифровывается. Достоинством такого режима является независимость функционирования средств шифрования и СУБД, которые работают последовательно друг за другом. В то же время сбой или отказ в системе может привести к тому, что на ВЗУ часть базы данных останется записанной в открытом виде.

Второй режим предполагает возможность выполнения СУБД запросов пользователей без расшифрования информации на ВЗУ. Поиск необходимых файлов, записей, полей, групп полей не требует расшифрования. Расшифрование производится в ОП непосредственно перед выполнением конкретных действий с данными. Такой режим возможен, если процедуры шифрования встроены в СУБД. При этом достигается высокий уровень защиты от несанкционированного доступа, но реализация режима связана с усложнением СУБД. Придание СУБД возможности поддержки такого режима работы осуществляется, как правило, на этапе разработки СУБД.

При построении защиты баз данных необходимо учитывать ряд специфических угроз безопасности информации, связанных с концентрацией в базах данных большого количества разнообразной информации, а также с возможностью использования сложных запросов обработки данных. К таким угрозам относятся:

• инференция;
• агрегирование;
• комбинация разрешенных запросов для получения закрытых данных.

Под инференцией понимается получение конфиденциальной информации из сведений с меньшей степенью конфиденциальности путем умозаключений. Если учитывать, что в базах данных хранится информация, полученная из различных источников в разное время, отличающаяся степенью обобщенности, то аналитик может получить конфиденциальные сведения путем сравнения, дополнения и фильтрации данных, к которым он допущен. Кроме того, он обрабатывает информацию, полученную из открытых баз данных, средств массовой информации, а также использует просчеты лиц, определяющих степень важности и конфиденциальности отдельных явлений, процессов, фактов, полученных результатов. Такой способ получения конфиденциальных сведений, например, по материалам средств массовой информации, используется давно, и показал свою эффективность.

Близким к инференции является другой способ добывания конфиденциальных сведений - агрегирование. Под агрегированием понимается способ получения более важных сведений по сравнению с важностью тех отдельно взятых данных, на основе которых и получаются эти сведения. Так, сведения о деятельности одного отделения или филиала корпорации обладают определенным весом. Данные же за всю корпорацию имеют куда большую значимость.

Если инференция и агрегирование являются способами добывания информации, которые применяются не только в отношении баз данных, то способ специального комбинирования запросов используется только при работе с базами данных. Использование сложных, а также последовательности простых логически связанных запросов позволяет получать данные, к которым доступ пользователю закрыт. Такая возможность имеется, прежде всего, в базах данных, позволяющих получать статистические данные. При этом отдельные записи, поля, (индивидуальные данные) являются закрытыми. В результате запроса, в котором могут использоваться логические операции AND, OR, NOT, пользователь может получить такие величины как количество записей, сумма, максимальное или минимальное значение. Используя сложные перекрестные запросы и имеющуюся в его распоряжении дополнительную информацию об особенностях интересующей записи (поля), злоумышленник путем последовательной фильтрации записей может получить доступ к нужной записи (полю).

Противодействие подобным угрозам осуществляется следующими методами:

• блокировка ответа при неправильном числе запросов;
• искажение ответа путем округления и другой преднамеренной коррекции данных;
• разделение баз данных;
• случайный выбор записи для обработки;
• контекстно-ориентированная защита;
• контроль поступающих запросов.

Метод блокировки ответа при неправильном числе запросов предполагает отказ в выполнении запроса, если в нем содержится больше определенного числа совпадающих записей из предыдущих запросов. Таким образом, данный метод обеспечивает выполнение принципа минимальной взаимосвязи вопросов. Этот метод сложен в реализации, так как необходимо запоминать и сравнивать все предыдущие запросы.

Метод коррекции заключается в незначительном изменении точного ответа на запрос пользователя. Для того, чтобы сохранить приемлемую точность статистической информации, применяется так называемый свопинг данных. Сущность его заключается во взаимном обмене значений полей записи, в результате чего все статистики i-го порядка, включающие i атрибутов, оказываются защищенными для всех i, меньших или равных некоторому числу. Если злоумышленник сможет выявить некоторые данные, то он не сможет определить, к какой конкретно записи они относятся.

Применяется также метод разделения баз данных на группы. В каждую группу может быть включено не более определенного числа записей. Запросы разрешены к любому множеству групп, но запрещаются к подмножеству записей из одной группы. Применение этого метода ограничивает возможности выделения данных злоумышленником на уровне не ниже группы записей. Метод разделения баз данных не нашел широкого применения из-за сложности получения статистических данных, обновления и реструктуризации данных.

Эффективным методом противодействия исследованию баз данных является метод случайного выбора записей для статистической обработки. Такая организация выбора записей не позволяет злоумышленнику проследить множество запросов.

Сущность контекстно-ориентированной защиты заключается в назначении атрибутов доступа (чтение, вставка, удаление, обновление, управление и т. д.) элементам базы данных (записям, полям, группам полей) в зависимости от предыдущих запросов пользователя. Например, пусть пользователю доступны в отдельных запросах поля: «идентификационные номера» и «фамилии сотрудников», а также «идентификационные номера» и «размер заработной платы». Сопоставив ответы по этим запросам, пользователь может получить закрытую информацию о заработной плате конкретных работников. Для исключения такой возможности пользователю следует запретить доступ к полю «идентификатор сотрудника» во втором запросе, если он уже выполнил первый запрос.

Одним из наиболее эффективных методов защиты информации в базах данных является контроль поступающих запросов на наличие «подозрительных» запросов или комбинации запросов. Анализ подобных попыток позволяет выявить возможные каналы получения несанкционированного доступа к закрытым данным.

Контрольные вопросы

1. Назовите особенности защиты информации в РКС.
2. Каким образом обеспечивается защита информации в пользовательских подсистемах и специализированных коммуникационных КС?
3. Приведите основные особенности защиты информации в подсистемах распределенных КС.
4. В чем заключается сущность межсетевого экранирования?
5. Охарактеризуйте защиту информации в базах данных.