Η χρήση πιστοποιημένου skzi - η άποψη του FSB. Πιστοποιημένα μέσα προστασίας κρυπτογραφικών πληροφοριών (CI)
Διασφάλιση του απορρήτου (εμπιστευτικότητα) των πληροφοριών. 2.
Διασφάλιση της ακεραιότητας των πληροφοριών. 3.
Έλεγχος ταυτότητας πληροφοριών (έγγραφα). Για την επίλυση αυτών των προβλημάτων, είναι απαραίτητο να εφαρμοστούν τα ακόλουθα
διαδικασίες: 1.
Υλοποίηση των πραγματικών λειτουργιών ασφάλειας πληροφοριών, συμπεριλαμβανομένων:
κρυπτογράφηση/αποκρυπτογράφηση. δημιουργία/επαλήθευση EDS· δημιουργία/δοκιμή εικονικών ένθετων. 2.
Παρακολούθηση της κατάστασης και διαχείριση της λειτουργίας των μέσων KPI (στο σύστημα):
έλεγχος κατάστασης: εντοπισμός και καταγραφή περιπτώσεων παραβίασης της λειτουργικότητας των μέσων KPI, απόπειρες μη εξουσιοδοτημένης πρόσβασης, περιπτώσεις παραβίασης κλειδιών.
διαχείριση λειτουργίας: λήψη μέτρων σε περίπτωση των αναφερόμενων αποκλίσεων από την κανονική λειτουργία των μέσων KPI. 3.
Διενέργεια συντήρησης εγκαταστάσεων KZI: εφαρμογή βασικής διαχείρισης.
την εκτέλεση διαδικασιών που σχετίζονται με τη σύνδεση νέων συνδρομητών δικτύου ή/και τον αποκλεισμό συνδρομητών που έχουν συνταξιοδοτηθεί. εξάλειψη των εντοπισμένων ελλείψεων του CIPF· υλοποίηση νέων εκδόσεων λογισμικό CIPF;
εκσυγχρονισμός και αντικατάσταση τεχνικών μέσων του CIPF με πιο προηγμένα ή/και αντικατάσταση μέσων των οποίων οι πόροι έχουν εξαντληθεί.
Η διαχείριση κλειδιών είναι μια από τις πιο σημαντικές λειτουργίες προστασίας κρυπτογραφικών πληροφοριών και συνίσταται στην υλοποίηση των ακόλουθων βασικών λειτουργιών:
Δημιουργία κλειδιών: ορίζει έναν μηχανισμό για τη δημιουργία κλειδιών ή ζευγών κλειδιών με εγγύηση για τις κρυπτογραφικές τους ιδιότητες.
διανομή κλειδιού: ορίζει τον μηχανισμό με τον οποίο τα κλειδιά παραδίδονται αξιόπιστα και με ασφάλεια στους συνδρομητές.
διατήρηση κλειδιού: καθορίζει τον μηχανισμό με τον οποίο τα κλειδιά αποθηκεύονται με ασφάλεια και ασφάλεια για μελλοντική χρήση.
ανάκτηση κλειδιού: ορίζει τον μηχανισμό ανάκτησης ενός από τα κλειδιά (αντικατάσταση με νέο κλειδί).
καταστροφή κλειδιού: καθορίζει τον μηχανισμό με τον οποίο τα παρωχημένα κλειδιά καταστρέφονται με ασφάλεια.
αρχειοθέτηση κλειδιών: ένας μηχανισμός με τον οποίο τα κλειδιά μπορούν να αποθηκευτούν με ασφάλεια για μετέπειτα συμβολαιογραφική ανάκτηση σε καταστάσεις σύγκρουσης.
Γενικά, για την υλοποίηση των αναφερόμενων λειτουργιών προστασίας κρυπτογραφικών πληροφοριών, είναι απαραίτητο να δημιουργηθεί ένα σύστημα προστασίας κρυπτογραφικών πληροφοριών που συνδυάζει τα πραγματικά μέσα CSI, προσωπικό συντήρησης, χώρους, εξοπλισμό γραφείου, διάφορα έγγραφα (τεχνική, κανονιστική), και τα λοιπά.
Όπως έχει ήδη σημειωθεί, για να ληφθούν εγγυήσεις προστασίας πληροφοριών, είναι απαραίτητο να χρησιμοποιηθούν πιστοποιημένα μέσα KPI.
Επί του παρόντος, το πιο διαδεδομένο είναι το ζήτημα της προστασίας των εμπιστευτικών πληροφοριών. Για την επίλυση αυτού του ζητήματος, υπό την αιγίδα του FAPSI, έχει αναπτυχθεί ένα λειτουργικά πλήρες σύνολο κρυπτογραφικής προστασίας εμπιστευτικών πληροφοριών, το οποίο επιτρέπει την επίλυση των αναφερόμενων εργασιών προστασίας πληροφοριών για μια μεγάλη ποικιλία εφαρμογών και συνθηκών χρήσης.
Αυτό το σύμπλεγμα βασίζεται στους κρυπτογραφικούς πυρήνες "Verba" (σύστημα ασύμμετρων κλειδιών) και "Verba-O" (σύστημα συμμετρικών κλειδιών). Αυτοί οι κρυπτοπύρηνες παρέχουν διαδικασίες κρυπτογράφησης δεδομένων σύμφωνα με τις απαιτήσεις του GOST 28147-89 "Συστήματα επεξεργασίας πληροφοριών.
Κρυπτογραφική προστασία» και ψηφιακή υπογραφήσύμφωνα με τις απαιτήσεις του GOST R34.10-94 "Τεχνολογία πληροφοριών. Κρυπτογραφική προστασία πληροφοριών. Διαδικασίες για την ανάπτυξη και επαλήθευση ηλεκτρονικής ψηφιακής υπογραφής με βάση έναν ασύμμετρο κρυπτογραφικό αλγόριθμο."
Τα εργαλεία που περιλαμβάνονται στο συγκρότημα CIPF σάς επιτρέπουν να προστατεύετε ηλεκτρονικά έγγραφα και ροές πληροφοριών χρησιμοποιώντας πιστοποιημένους μηχανισμούς κρυπτογράφησης και ηλεκτρονικής υπογραφής σε όλες σχεδόν τις σύγχρονες τεχνολογίες πληροφοριών, συμπεριλαμβανομένων των εξής: χρήση του CIPF σε λειτουργία εκτός σύνδεσης.
ασφαλής ανταλλαγή πληροφοριών σε λειτουργία εκτός σύνδεσης. ασφαλής ανταλλαγή πληροφοριών σε λειτουργία on-line. προστατευόμενη ετερογενής, δηλ. μικτή ανταλλαγή πληροφοριών.
Για την επίλυση συστημικών ζητημάτων της χρήσης εργαλείων προστασίας κρυπτογραφικών πληροφοριών, υπό την ηγεσία του D. A. Starovoitov, αναπτύχθηκε η σύνθετη τεχνολογία κρυπτογραφικής προστασίας πληροφοριών Vityaz, η οποία παρέχει κρυπτογραφική προστασία δεδομένων σε όλα τα μέρη του συστήματος ταυτόχρονα: όχι μόνο σε κανάλια επικοινωνίας και κόμβους συστήματος, αλλά και απευθείας στους χώρους εργασίας των χρηστών στη διαδικασία δημιουργίας ενός εγγράφου, όταν το ίδιο το έγγραφο προστατεύεται. Επιπλέον, στο πλαίσιο της γενικής τεχνολογίας Vityaz, παρέχεται για τους χρήστες μια απλοποιημένη, εύκολα προσβάσιμη τεχνολογία για την ενσωμάτωση αδειοδοτημένων CIPF σε διάφορα συστήματα εφαρμογών, γεγονός που καθιστά τη χρήση αυτών των CIPF πολύ ευρεία.
Παρακάτω είναι μια περιγραφή των μέσων και των μεθόδων προστασίας για κάθε έναν από τους αναφερόμενους τρόπους λειτουργίας.
Χρήση του CIPF εκτός σύνδεσης.
Όταν εργάζεστε αυτόνομα με το CIPF, μπορούν να εφαρμοστούν οι ακόλουθοι τύποι προστασίας κρυπτογραφικών πληροφοριών: δημιουργία προστατευμένου εγγράφου. προστασία αρχείων?
δημιουργία ενός προστατευόμενου σύστημα αρχείων; δημιουργία ενός προστατευόμενου λογική κίνηση. Κατόπιν αιτήματος του χρήστη, μπορούν να υλοποιηθούν οι ακόλουθοι τύποι κρυπτογραφικής προστασίας εγγράφων (αρχείων):
κρυπτογράφηση ενός εγγράφου (αρχείου), που καθιστά το περιεχόμενό του απροσπέλαστο τόσο κατά την αποθήκευση ενός εγγράφου (αρχείου) όσο και όταν μεταδίδεται μέσω καναλιών επικοινωνίας ή μέσω ταχυμεταφοράς·
ανάπτυξη ενός μιμητή ένθετου, ο οποίος παρέχει έλεγχο της ακεραιότητας του εγγράφου (αρχείου).
ο σχηματισμός EDS, το οποίο διασφαλίζει τον έλεγχο της ακεραιότητας του εγγράφου (αρχείου) και τον έλεγχο ταυτότητας του ατόμου που υπέγραψε το έγγραφο (αρχείο).
Ως αποτέλεσμα, το προστατευμένο έγγραφο (αρχείο) μετατρέπεται σε κρυπτογραφημένο αρχείο που περιέχει, εάν είναι απαραίτητο, ένα EDS. Η ψηφιακή υπογραφή, ανάλογα με την οργάνωση της διαδικασίας επεξεργασίας πληροφοριών, μπορεί επίσης να αντιπροσωπεύεται από ένα αρχείο χωριστό από το υπογεγραμμένο έγγραφο. Επιπλέον, αυτό το αρχείο μπορεί να εξαχθεί σε δισκέτα ή άλλο μέσο, για παράδοση με κούριερ ή να σταλεί με οποιοδήποτε διαθέσιμο ηλεκτρονικό ταχυδρομείο, για παράδειγμα, μέσω Διαδικτύου.
Αντίστοιχα, κατά την παραλαβή του κρυπτογραφημένου αρχείου μέσω e-mail ή σε συγκεκριμένο μέσο, οι ενέργειες για κρυπτογραφική προστασία εκτελούνται σε αντίστροφη σειρά(αποκρυπτογράφηση, επαλήθευση απομίμησης εισαγωγής, επαλήθευση ψηφιακής υπογραφής).
Για υλοποίηση διάρκεια ζωής μπαταρίαςΤα ακόλουθα πιστοποιημένα μέσα μπορούν να χρησιμοποιηθούν με το CIPF:
πρόγραμμα επεξεργασίας κειμένου "Lexicon-Verba", που υλοποιείται με βάση το CIPF "Verba-O" και το CIPF "Verba".
Σύμπλεγμα λογισμικού CIPF "Autonomous Workplace" που υλοποιήθηκε με βάση τα CIPF "Verba" και "Verba-O" για Windows 95/98/NT.
Πρόγραμμα οδήγησης κρυπτογραφικού δίσκου PTS "DiskGuard".
Προστατευμένος επεξεργαστής κειμένου "Lexicon-Verba".
Το σύστημα Lexicon-Verba είναι ένα πρόγραμμα επεξεργασίας κειμένου με πλήρεις δυνατότητες με υποστήριξη για κρυπτογράφηση εγγράφων και ηλεκτρονική ψηφιακή υπογραφή. Για την προστασία των εγγράφων, χρησιμοποιεί τα κρυπτογραφικά συστήματα Verba και Verba-O. Η μοναδικότητα αυτού του προϊόντος έγκειται στο γεγονός ότι οι λειτουργίες κρυπτογράφησης και υπογραφής κειμένου περιλαμβάνονται απλώς στις λειτουργίες ενός σύγχρονου επεξεργαστή κειμένου. Η κρυπτογράφηση και η υπογραφή του εγγράφου σε αυτήν την περίπτωση μετατρέπεται από ειδικές διαδικασίες σε απλές τυπικές ενέργειες κατά την εργασία με ένα έγγραφο.
Ταυτόχρονα, το σύστημα Lexicon-Verba μοιάζει με ένα κανονικό πρόγραμμα επεξεργασίας κειμένου. Οι επιλογές μορφοποίησης κειμένου περιλαμβάνουν πλήρης προσαρμογήγραμματοσειρές και παραγράφους του εγγράφου· πίνακες και λίστες· υποσέλιδα, υποσημειώσεις, πλαϊνές γραμμές. τη χρήση στυλ και πολλών άλλων χαρακτηριστικών ενός επεξεργαστή κειμένου που ανταποκρίνεται στις σύγχρονες απαιτήσεις. Το "Lexicon-Verba" σάς επιτρέπει να δημιουργείτε και να επεξεργάζεστε έγγραφα σε μορφές Lexicon, RTF, MS Word 6/95/97, MS Write.
Αυτόνομος χώρος εργασίας.
Το CIPF "Autonomous Workplace" υλοποιείται με βάση τα CIPF "Verba" και "Verba-O" για Windows 95/98/NT και επιτρέπει στο χρήστη να εκτελεί τις ακόλουθες λειτουργίες σε διαδραστική λειτουργία:
κρυπτογράφηση / αποκρυπτογράφηση αρχείων σε κλειδιά. κρυπτογράφηση / αποκρυπτογράφηση αρχείων με κωδικό πρόσβασης. τοποθέτηση/αφαίρεση/επαλήθευση ηλεκτρονικών ψηφιακών υπογραφών (EDS) κάτω από αρχεία.
Έλεγχος κρυπτογραφημένων αρχείων.
Επικόλληση EDS + κρυπτογράφηση (σε μία ενέργεια) αρχείων. αποκρυπτογράφηση + αφαίρεση του EDS (σε μία ενέργεια) κάτω από αρχεία.
υπολογισμός αρχείου κατακερματισμού.
Το CIPF "Autonomous Workplace" συνιστάται να χρησιμοποιείται για την καθημερινή εργασία των εργαζομένων που πρέπει να παρέχουν:
μεταφορά εμπιστευτικών πληροφοριών σε σε ηλεκτρονική μορφήμε το χέρι ή με κούριερ?
αποστολή εμπιστευτικών πληροφοριών μέσω δημόσιου δικτύου, συμπεριλαμβανομένου του Διαδικτύου·
προστασία από μη εξουσιοδοτημένη πρόσβαση σε εμπιστευτικές πληροφορίες προσωπικούς υπολογιστέςυπαλλήλους.
Valery Konyavsky
Επιστημονικός υπεύθυνος του VNIIPVTI,
επιστημονικός σύμβουλος OKB SAPR
Οποιαδήποτε πράξη σε έναν τυχαίο αριθμό θα δώσει έναν τυχαίο αριθμό. Μια τυχαία ακολουθία που προστίθεται στο απλό κείμενο θα δώσει ένα τυχαίο κρυπτοκείμενο. Όσο καλύτερη είναι η ποιότητα γάμμα, τόσο λιγότερες πιθανότητες αποκρυπτογράφησης του κρυπτοκειμένου. Εάν το γάμμα είναι πραγματικά τυχαίο, τότε το κρυπτοκείμενο δεν μπορεί να αποκρυπτογραφηθεί.
Κρυπτογράφηση Vernam
Τα μέσα προστασίας κρυπτογραφικών πληροφοριών (CIPF) μπορούν να χωριστούν σε μέσα κρυπτογράφησης και μέσα ηλεκτρονικής υπογραφής (SES).
Δεν ήταν πολύ βολικό και μάλλον ακριβό να μεταδοθεί η σειρά με τη μορφή τεράστιων κυλίνδρων διάτρητης ταινίας. Ως εκ τούτου, μερικές φορές υπήρχαν προβλήματα με την επαναχρησιμοποίησή του και, κατά συνέπεια, με διαρροές σημαντικών πληροφοριών.
Για να μην μεταδίδουν καρούλια διάτρητης ταινίας μέσω ακριβών καναλιών, βρήκαν τρόπους να δημιουργήσουν μια μεγάλη γκάμα από ένα τυχαίο αλλά σύντομο κλειδί. Εκείνη την εποχή, ήταν ευκολότερο να μεταδοθεί ένα σύντομο τυχαίο κλειδί παρά ένα μεγάλο.
Πιστοποιημένο CIPF
Με την εμφάνιση των σύγχρονων μέσων αποθήκευσης, η κατάσταση έχει αλλάξει δραματικά, και τώρα δεν υπάρχει πρόβλημα παραγωγής και μετάδοσης gigabytes γάμμα - αν μόνο το DFS ήταν καλό. Οι γεννήτριες ψευδοτυχαίων ακολουθιών λογισμικού (PSP) μπορούν να χρησιμοποιηθούν εδώ μόνο από την απελπισία ότι δεν υπάρχει καλή φυσική γεννήτρια.
Τα κρυπτογραφικά πρότυπα ορίζουν αλληλουχίες λειτουργιών που καθιστούν δυνατή τη λήψη ασφαλώς κρυπτογραφημένου απλού κειμένου με βάση ένα καλό κλειδί. Ταυτόχρονα, τα κλειδιά πρέπει να γίνονται σε καλούς αισθητήρες.
Ο ρυθμιστής ορίζει τους κανόνες, τα εργαστήρια δοκιμών ελέγχουν εάν πληρούνται οι απαιτήσεις για λειτουργίες, τα κλειδιά και η απουσία επιρροής σε αυτές τις διαδικασίες από άλλες διαδικασίες - έτσι εμφανίζονται τα πιστοποιημένα εργαλεία προστασίας κρυπτογραφικών πληροφοριών.
Κρυπτογράφηση και ηλεκτρονική υπογραφή
Το γάμμα πρέπει να έχει τις ακόλουθες ιδιότητες:
- να είναι πραγματικά τυχαία, δηλαδή να σχηματίζονται από φυσικές, αναλογικές και όχι ψηφιακές διαδικασίες.
- αντιστοιχούν στο μέγεθος του καθορισμένου απλού κειμένου ή υπερβαίνουν το
- εφαρμόστηκε σε κάθε μήνυμα μόνο μία φορά και στη συνέχεια απορρίφθηκε.
Ένας τέτοιος κρυπτογράφηση ονομάζεται κρυπτογράφηση Vernam και είναι ο μόνος κρυπτογράφησης που έχει απόλυτη κρυπτογραφική ισχύ. Δεν χρειάζεται να αποδείξουμε τη δύναμή του τώρα, όπως το έκανε ο K. Shannon το 1945. Το μεγάλο μήκος του γάμμα, ο σχηματισμός του βάσει φυσικών διεργασιών και η εγγυημένη καταστροφή - αυτές είναι οι προϋποθέσεις για την ισχύ του κρυπτογράφησης.
Η κρυπτογράφηση είναι απαραίτητη για να διασφαλιστεί ότι έχουν πρόσβαση μόνο όσοι έχουν πρόσβαση στις πληροφορίες. Το EP χρησιμοποιείται για να καθορίσει τη βούληση ενός ατόμου. Και αν το CIPF πρέπει να εκτελέσει σωστά κρυπτογραφικούς μετασχηματισμούς σε επαληθευμένο περιβάλλον, τότε αυτό δεν αρκεί για μια ηλεκτρονική υπογραφή. Πρέπει να ληφθούν όλα τα μέτρα για να διασφαλιστεί αυτό ελεύθερη βούληση ενός ατόμου. Το FZ-63 στοχεύει σε αυτό, γι' αυτό και μια από τις σημαντικότερες απαιτήσεις του είναι η απαίτηση για σωστή οπτικοποίηση του εγγράφου που υπογράφει το άτομο. Έτσι, σε αντίθεση με το CIPF, για τα πιστοποιημένα SES, προστίθενται έλεγχοι εργαλείων οπτικοποίησης. Φυσικά γίνονται και όλοι οι απαραίτητοι έλεγχοι κρυπτογραφικών αλγορίθμων.
Αναλύοντας ένα ή άλλο σχήμα ES, το ερώτημα συνήθως τίθεται ως εξής: "Είναι δυνατόν να λάβετε γρήγορα δύο διαφορετικά (με νόημα) μηνύματα που θα έχουν το ίδιο ES." Η απάντηση εδώ είναι συνήθως αρνητική. Εάν χρησιμοποιείται μια καλή συνάρτηση κατακερματισμού, για την οποία δεν έχει βρεθεί αποτελεσματικός μηχανισμός σύγκρουσης, μια τέτοια επίθεση είναι σχεδόν πάντα καταδικασμένη σε αποτυχία. Ο Mikhail Gruntovich (βλ. σελ. 48) έθεσε την ερώτηση διαφορετικά: «Είναι δυνατόν, έχοντας δύο μηνύματα, να επιλέξουμε τα κλειδιά υπογραφής έτσι ώστε το ES να ταιριάζει;». Και αποδείχθηκε εξαιρετικά εύκολο να γίνει!
Επίθεση του Γκρούντοβιτς
Θα εξετάσουμε τις συγκεκριμένες προϋποθέσεις για την υλοποίηση αυτής της επίθεσης (σε πολύ απλοποιημένη έκδοση) χρησιμοποιώντας το παράδειγμα μιας υπογραφής σύμφωνα με το σχήμα ElGamal. Η πίστη στη σταθερότητα αυτού του σχήματος βασίζεται στην (υποθετική) πολυπλοκότητα του προβλήματος του διακριτού λογαρίθμου, αλλά δεν είναι το πρόβλημα των διακριτών μαθηματικών που δέχεται επίθεση εδώ.
Το CIPF πρέπει να είναι υλικό. Πρέπει να περιέχουν φυσικό RNG της απαιτούμενης ποιότητας και να διασφαλίζουν τη μη εξαγωγή όχι μόνο του κλειδιού υπογραφής, αλλά και άλλων κρυπτογραφικών στοιχείων που επηρεάζουν την ισχύ των αλγορίθμων.
Ας εισάγουμε τον ακόλουθο συμβολισμό:
- Το H είναι μια κρυπτογραφική συνάρτηση κατακερματισμού.
Το Zn είναι ένα σύνολο αριθμών (0,1,…, n - 1), το n είναι ένας φυσικός αριθμός.
a (mod p) είναι το υπόλοιπο της διαίρεσης ενός ακέραιου αριθμού a με έναν φυσικό αριθμό p.
Για το σχέδιο δημιουργίας υπογραφών ElGamal:
- Ένας πρώτος αριθμός p επαρκούς χωρητικότητας είναι σταθερός και το g είναι ένα πρωτόγονο στοιχείο mod p.
- το ιδιωτικό κλειδί της υπογραφής είναι οποιοσδήποτε αριθμός x από το Zp.
Υπολογισμός της υπογραφής μηνύματος m:
- υπολογίζεται ο κωδικός κατακερματισμού h = H(m).
- Ένας τυχαίος αριθμός k επιλέγεται συμπρωτάρης με p - 1: 1< k < p - 1;
- Υπολογίζεται r = g k (mod p).
- Υπολογίζεται s = k -1 (h - xr) (mod p - 1).
- η υπογραφή είναι το ζεύγος c = (r, s).
Τώρα ας δούμε τι πρέπει να κάνει ένας εισβολέας για να υλοποιήσει μια επίθεση. Θα πρέπει να δημιουργήσει κωδικούς κατακερματισμού:
- h 1 \u003d H (m 1), h 2 \u003d H (m 2)
και αντιστοίχιση υπογραφών με τον ίδιο τυχαίο αριθμό k:
- s = k -1 (h 1 - x 1 r) (mod p - 1) και
s \u003d k -1 (h 2 - x 2 r) (mod p - 1).
Και αυτό σημαίνει ότι:
h 1 - x 1 r (mod p - 1) = h 2 - x 2 r (mod p - 1).
Ορισμένες λειτουργίες που πρέπει να προσέξετε όταν χρησιμοποιείτε το SKZI.
1. Εάν η τεκμηρίωση για το CIPF υποδεικνύει σε ποιο λειτουργικό σύστημα μπορεί να χρησιμοποιηθεί, τότε είναι απαραίτητο να το χρησιμοποιήσετε σε αυτό το σύστημα. Διαφορετικά, ακόμα κι αν το CIPF λειτουργεί, θα πρέπει να διεξάγετε έρευνα σχετικά με την ορθότητα της ενσωμάτωσης του γνωστού CIPF στο νέο περιβάλλον. Αυτό δεν είναι δύσκολο (σχετικά) για το υλικό CIPF, αλλά αρκετά δύσκολο για το λογισμικό.
2. Εάν το σύστημα προστασίας κρυπτογραφικών πληροφοριών υλικού δεν διαθέτει επαληθευμένο DSC και δεν υπάρχουν αποδεδειγμένα εργαλεία αυτοελέγχου (διαφορετικά δεν μπορεί να είναι σε εργαλεία προστασίας κρυπτογραφικών πληροφοριών που κατασκευάζονται σε μικροκυκλώματα γενικής χρήσης έξυπνων καρτών), τότε δώστε προσοχή στα έγγραφα για την ενσωμάτωση και λειτουργία. Δεδομένου ότι η εντροπία πρέπει να προστεθεί από κάπου και πρέπει να πραγματοποιηθεί δοκιμή, μπορεί να αποδειχθεί ότι αυτό το CIPF μπορεί να χρησιμοποιηθεί αυτόνομα για πολύ σύντομο χρονικό διάστημα, για παράδειγμα, δύο ή τρεις ημέρες. Αυτό δεν είναι πάντα βολικό.
3. Αν σας προσφερθεί κάποιο κουπόνι και πουν ότι είναι πιστοποιημένο σύμφωνα με την κλάση KS2 και άνω, μην το πιστέψετε. Πιθανότατα, η τεκμηρίωση απαιτεί τη χρήση αυτού του διακριτικού σε ασφαλές περιβάλλον. ηλεκτρονική κλειδαριά. Χωρίς αυτό, η τάξη δεν θα είναι υψηλότερη από την CC1.
Όπως μπορείτε να δείτε, όταν επιλέγετε τα πλήκτρα x 1 και x 2 έτσι ώστε να ικανοποιείται η παραπάνω συνθήκη, οι υπογραφές ταιριάζουν, παρά το γεγονός ότι τα υπογεγραμμένα μηνύματα είναι διαφορετικά! Σημειώστε ότι για τον υπολογισμό του x 2 από ένα γνωστό x 1, οι υπολογισμοί που απαιτούνται είναι ελάχιστοι σε σύγκριση με το πρόβλημα του υποεκθετικού διακριτού λογαρίθμου.
Ωστόσο, δεν είναι όλα τόσο τρομακτικά. Γεγονός είναι ότι τα ληφθέντα αποτελέσματα δεν δυσφημούν με κανέναν τρόπο το κρυπτογραφική ισχύς του EP. Δείχνουν την πιθανότητα ευπάθειας κακή εφαρμογήΜηχανισμοί EP.
Αυτό το παράδειγμα δείχνει ξεκάθαρα τα τρωτά σημεία που προκύπτουν όταν το CIPF δεν εφαρμόζεται σωστά. Η περιγραφόμενη επίθεση είναι δυνατή εάν ο χρήστης γνωρίζει το κλειδί υπογραφής του και μπορεί να βρει έναν τυχαίο αριθμό.
Υπάρχει ένας ριζοσπαστικός τρόπος για να αντιμετωπίσετε επιθέσεις αυτού του είδους - για αυτό το μόνο που χρειάζεται είναι να έχετε μια συσκευή στην οποία:
- δημιουργείται ένα κλειδί υπογραφής.
- υπολογίζεται το κλειδί επαλήθευσης υπογραφής.
- δημόσιο κλειδίεξάγονται, μεταξύ άλλων για πιστοποίηση σε αρχή πιστοποίησης·
- το κλειδί υπογραφής χρησιμοποιείται για τη δημιουργία ES μόνο μέσα στη συσκευή, η εξαγωγή του είναι αδύνατη! Πιο πρόσφατα, τέτοιες συσκευές αναφέρονται ως μη αφαιρούμενες συσκευές κλειδιού.
- ο τυχαίος αριθμός δεν εμφανίζεται ποτέ στο περιβάλλον του υπολογιστή, δημιουργείται και καταστρέφεται αφού εφαρμοστεί μέσα στη συσκευή.
Από εδώ είναι σαφές ότι η πιο αξιόπιστη επιλογή είναι τα EPS και CIPF, κατασκευασμένα με τη μορφή εξοπλισμού. Σε αυτή την περίπτωση, μπορεί να διασφαλιστεί η επαρκής ποιότητα του RNG και η αξιοπιστία της αποθήκευσης του κλειδιού υπογραφής.
Κρυπτογράφηση
Τώρα ας επιστρέψουμε στην κρυπτογράφηση και ας μιλήσουμε για το πότε και γιατί πρέπει να χρησιμοποιείται τόσο από φυσικά όσο και από νομικά πρόσωπα.
Αρχικά, ας ξεχωρίσουμε τους κύριους τύπους κρυπτογράφησης, και αυτοί είναι ο συνδρομητής και το κανάλι. Όπως προκύπτει από τα ονόματα, στην περίπτωση κρυπτογράφησης συνδρομητή, ο συνδρομητής κρυπτογραφεί πρώτα τις πληροφορίες (αρχείο, έγγραφο) και στη συνέχεια τις μεταφέρει στο κανάλι σε κλειστή μορφή. Με την κρυπτογράφηση καναλιού, το ίδιο το κανάλι προστατεύεται με κρυπτογραφικές μεθόδους και ο συνδρομητής δεν χρειάζεται να ανησυχεί για την κρυπτογράφηση των πληροφοριών προτού μεταδοθούν μέσω του καναλιού. Εάν το κανάλι είναι σύνδεσμος από σημείο σε σημείο, τότε χρησιμοποιούνται κωδικοποιητές καναλιών. Εάν το κανάλι δεν είναι καλώδια, αλλά μια ενεργή δομή όπως το Διαδίκτυο, τότε δεν χρειάζεται να κρυπτογραφηθούν όλα, αλλά μόνο δεδομένα. Οι διευθύνσεις δεν μπορούν να παραμορφωθούν, διαφορετικά τα πακέτα απλά δεν θα φτάσουν στον παραλήπτη. Εδώ μπαίνουν στο παιχνίδι τα εικονικά ιδιωτικά δίκτυα (VPN). Τα πιο γνωστά πρωτόκολλα είναι το IPsec και το SSL. Σχεδόν όλα τα VPN στην αγορά εφαρμόζουν ένα από αυτά τα πρωτόκολλα.
VPN
Για να επιλέξετε συνειδητά ένα ή άλλο εργαλείο, πρέπει να καταλάβετε πώς διαφέρουν και ποιες δυσκολίες θα συναντήσετε κατά τη λειτουργία αυτών των εργαλείων. Εδώ είναι τα ελάχιστα πράγματα που πρέπει να έχετε κατά νου:
- Η κρυπτογραφική προστασία των καναλιών θα πρέπει να χρησιμοποιείται εάν υπάρχει κίνδυνος ότι τα δεδομένα που μεταδίδετε είναι τόσο ενδιαφέροντα για τον εισβολέα που θα ενταχθεί στο κανάλι και θα αρχίσει να "ακούει" ολόκληρη την ανταλλαγή σας. Φυσικά, πρέπει να αρχίσετε να προστατεύετε τα κανάλια αφού το εσωτερικό δίκτυο προστατεύεται αξιόπιστα, καθώς ένας εσωτερικός χρήστης είναι συνήθως φθηνότερος από μια επίθεση σε ένα κανάλι. 1 και τα δύο πρωτόκολλα - αυτά τα πρωτόκολλα έχουν σχεδιαστεί για αλληλεπίδραση όχι με πελάτες, αλλά με δίκτυα, επομένως είναι δύσκολο να ρυθμιστούν. Επομένως, οι έλεγχοι ασφάλειας δικτύου είναι κρίσιμοι και θα πρέπει να επιλέγονται πρώτα.
- στη στοίβα πρωτοκόλλου TCP/IP, το IPsec λειτουργεί στο επίπεδο IP, ενώ το SSL λειτουργεί στο επίπεδο TCP. Δηλαδή, εάν το IPsec παρέχει προστασία μάλλον σε επίπεδο συστήματος, τότε SSL - σε επίπεδο εφαρμογής. Δεδομένου ότι το IPsec λειτουργεί πολύ "χαμηλότερα", έτσι "ενθυλακώνει" πολύ μεγαλύτερο αριθμό πρωτοκόλλων στην περιοχή προστασίας από το SSL, το οποίο, φυσικά, είναι καλύτερο.
- Όταν χρησιμοποιείτε ένα VPN, το κύριο μέλημά σας είναι η διαχείριση κλειδιών. Τα κλειδιά πρέπει να εκδοθούν εγκαίρως, να αλλάξουν - με μια λέξη, πρέπει να διαχειρίζονται. Κάθε CIPF έχει το δικό του σύστημα παραγωγής και διαχείρισης κλειδιών. Εάν έχετε ήδη ένα σύστημα κλειδιού σε χρήση, συνεχίστε να το χρησιμοποιείτε. Μην ξεκινήσετε έναν "ζωολογικό κήπο" - είναι δύσκολο να διατηρήσετε ακόμη και ένα σύστημα, και ακόμη και πολλά - ένα σχεδόν αφόρητο έργο.
- εάν η εργασία σας σχετίζεται με τη διασφάλιση της δραστηριότητας πολλών αντικειμένων πληροφόρησης που κατανέμονται στο διάστημα, χρησιμοποιήστε VPN. Αυτό ισχύει μόνο για τα αντικείμενα μεταξύ των οποίων πραγματοποιείται εντατική αλληλεπίδραση πληροφοριών από προστατευμένα δεδομένα, τα οποία μπορεί να ενδιαφέρουν τον εισβολέα τόσο πολύ ώστε να είναι έτοιμος να «ακούσει» τα κανάλια. Εάν όλα δεν λειτουργούν έτσι, προσπαθήστε να περιοριστείτε στην προστασία κρυπτογραφικών πληροφοριών συνδρομητών.
Συνδρομητής CIPF
Χαρακτηρίζονται όχι από αλγόριθμους (που ορίζονται από πρότυπα), αλλά από βοηθητικά προγράμματα που επιτρέπουν τη χρήση αυτών των CIPF και από τις προϋποθέσεις που πρέπει να πληρούνται. Είναι επιθυμητό η χρήση αυτών των εργαλείων να ήταν βολική.
Και το πιο σημαντικό - θυμηθείτε την επάρκεια προστατευτικού εξοπλισμού. Δεν χρειάζεται να χρησιμοποιήσετε ακριβό CIPF όπου μπορείτε να κάνετε χωρίς αυτά.
Και κάτι ακόμα: υπάρχουν CIPF και SEP που πληρούν όλες τις απαιτήσεις που συζητήσαμε. Μέχρι κλάσης KV2. Δεν τα κατονομάζω μόνο για να μην γίνει διαφημιστικό το άρθρο.
Βιβλιογραφία
- Konyavsky V.A. Ηλεκτρονικό έγκλημα. Τ. II. - Μ., 2008.
- Yashchenko V.V. Εισαγωγή στην κρυπτογραφία. Νέοι μαθηματικοί κλάδοι. - Μ., 2001.
Σχολιάζοντας...
Alexey, καλημέρα!
Στην απάντηση του 8ου Κέντρου δεν αναφέρεται τίποτα για την ανάγκη χρήσης πιστοποιημένων εργαλείων προστασίας κρυπτογραφικών πληροφοριών. Αλλά υπάρχουν "Μεθοδολογικές συστάσεις ..." που εγκρίθηκαν από την ηγεσία του 8ου Κέντρου του FSB της Ρωσίας με ημερομηνία 31 Μαρτίου 2015 Αρ. 149/7/2/6-432, στην οποία υπάρχει μια τέτοια παράγραφος στο δεύτερο μέρος:
Για τη διασφάλιση της ασφάλειας των προσωπικών δεδομένων κατά την επεξεργασία τους στο ISPD, θα πρέπει να χρησιμοποιείται CIPF που έχει περάσει τη διαδικασία αξιολόγησης της συμμόρφωσης με τον προβλεπόμενο τρόπο. Λίστα του SKZI, πιστοποιημένο από την FSBΡωσία, που δημοσιεύεται στον επίσημο ιστότοπο του Κέντρου Αδειοδότησης, Πιστοποίησης και Προστασίας Κρατικών Μυστικών του FSB της Ρωσίας (www.clsz.fsb.ru). Πρόσθετες πληροφορίες σχετικά με συγκεκριμένα εργαλεία ασφάλειας πληροφοριών συνιστάται να λαμβάνονται απευθείας από τους προγραμματιστές ή τους κατασκευαστές αυτών των εργαλείων και, εάν είναι απαραίτητο, από εξειδικευμένους οργανισμούς που έχουν πραγματοποιήσει μελέτες περιπτώσεων αυτών των εργαλείων.
Γιατί δεν απαιτείται αυτή η χρήση πιστοποιημένου CIPF;
Υπάρχει μια εντολή του FSB της Ρωσίας με ημερομηνία 10 Ιουλίου 2014 Νο. 378, στην οποία η υποπαράγραφος "δ" της παραγράφου 5 αναφέρει: "η χρήση εργαλείων ασφάλειας πληροφοριών που έχουν περάσει τη διαδικασία αξιολόγησης της συμμόρφωσης με τις απαιτήσεις της νομοθεσίας της Ρωσικής Ομοσπονδίας στον τομέα της ασφάλειας των πληροφοριών, στην περίπτωση που η χρήση τέτοιων εργαλείων είναι απαραίτητη για την εξουδετέρωση των τρεχουσών απειλών».
Λίγο μπερδεμένο είναι αυτό «όταν η χρήση τέτοιων μέσων είναι απαραίτητη για την εξουδετέρωση των πραγματικών απειλών». Αλλά όλη αυτή η αναγκαιότητα θα πρέπει να περιγραφεί στο μοντέλο του εισβολέα.
Αλλά σε αυτήν την περίπτωση, και πάλι, στην ενότητα 3 των "Μεθοδολογικών συστάσεων ..." του 2015, αναφέρεται ότι "Όταν χρησιμοποιείτε κανάλια επικοινωνίας (γραμμές) από τα οποία είναι αδύνατο να υποκλαπούν οι προστατευμένες πληροφορίες που μεταδίδονται μέσω αυτών και (ή ) στις οποίες είναι αδύνατο να πραγματοποιηθούν μη εξουσιοδοτημένες ενέργειες σε αυτές τις πληροφορίες, με γενική περιγραφή πληροφοριακά συστήματαπρέπει να διευκρινίσετε:
- περιγραφή των μεθόδων και των μέσων προστασίας αυτών των καναλιών από μη εξουσιοδοτημένη πρόσβαση σε αυτά·
- συμπεράσματα με βάση τα αποτελέσματα μελετών για την ασφάλεια αυτών των καναλιών επικοινωνίας (γραμμών) από μη εξουσιοδοτημένη πρόσβαση στις προστατευμένες πληροφορίες που μεταδίδονται μέσω αυτών από οργανισμό που δικαιούται να διεξάγει τέτοιες μελέτες, με αναφορά στο έγγραφο που περιέχει αυτά τα συμπεράσματα.
Όλα αυτά τα κάνω - ναι, δεν χρειάζεται να χρησιμοποιείτε κρυπτογραφική προστασία πληροφοριών πάντα και παντού, διασφαλίζοντας παράλληλα την ασφάλεια της επεξεργασίας προσωπικών δεδομένων. Αλλά για αυτό είναι απαραίτητο να διαμορφωθεί ένα μοντέλο του παραβάτη, όπου όλα αυτά περιγράφονται και αποδεικνύονται. Γράψατε για δύο περιπτώσεις που πρέπει να τις χρησιμοποιήσετε. Αλλά το γεγονός ότι για να διασφαλίσετε την ασφάλεια της επεξεργασίας PD μέσω ανοιχτών καναλιών επικοινωνίας ή εάν η επεξεργασία αυτών των PD υπερβαίνει τα όρια της ελεγχόμενης ζώνης, μπορείτε να χρησιμοποιήσετε μη πιστοποιημένα εργαλεία προστασίας κρυπτογραφικών πληροφοριών - δεν είναι τόσο απλό. Και μπορεί να συμβεί ότι είναι ευκολότερο να χρησιμοποιείτε πιστοποιημένα εργαλεία προστασίας κρυπτογραφικών πληροφοριών και να συμμορφώνεστε με όλες τις απαιτήσεις κατά τη λειτουργία και την αποθήκευσή τους παρά να χρησιμοποιείτε μη πιστοποιημένα μέσα και κεφαλές με κεφαλές με τον ρυθμιστή, ο οποίος, βλέποντας μια τέτοια κατάσταση, θα προσπαθήσει πολύ σκληρά να σπρώξει τη μύτη του.
άγνωστα σχόλια...Η περίπτωση που η χρήση τέτοιων μέσων είναι απαραίτητη για την εξουδετέρωση των τρεχουσών απειλών: η απαίτηση του διατάγματος της FSTEC της Ρωσίας Νο. 17 της 11ης Φεβρουαρίου 2013 (απαιτήσεις για κρατικές και δημοτικές ISPD),
ρήτρα 11. Για τη διασφάλιση της προστασίας των πληροφοριών που περιέχονται στο σύστημα πληροφοριών, χρησιμοποιούνται εργαλεία ασφάλειας πληροφοριών που έχουν περάσει αξιολόγηση συμμόρφωσης με τη μορφή υποχρεωτικής πιστοποίησης για τη συμμόρφωση με τις απαιτήσεις ασφάλειας πληροφοριών σύμφωνα με το άρθρο 5 του ομοσπονδιακού νόμου αριθ. 184-FZ της 27ης Δεκεμβρίου 2002 «Περί τεχνικού κανονισμού».
Ο Alexey Lukatsky σχολιάζει...Proximo: Οι συστάσεις της FSB είναι παράνομες. Η διαταγή 378 είναι νόμιμη, αλλά πρέπει να λαμβάνεται υπόψη στο πλαίσιο όλης της νομοθεσίας και λέει ότι οι ιδιαιτερότητες της αξιολόγησης της συμμόρφωσης καθορίζονται από την κυβέρνηση ή τον Πρόεδρο. Ούτε το ένα ούτε το άλλο τέτοιο NPA δεν κυκλοφόρησε τ
Ο Alexey Lukatsky σχολιάζει...Anton: στο κράτος, η απαίτηση πιστοποίησης καθορίζεται από το νόμο, η 17η τάξη απλώς τις επαναλαμβάνει. Και μιλάμε για ΠΔΝ
άγνωστα σχόλια...Alexey Lukatsky: Όχι. Οι συστάσεις της FSB είναι παράνομες "Πόσο παράνομες; Μιλάω για το έγγραφο με ημερομηνία 19/05/2015 Αρ. %40fsbResearchart.html), αλλά όχι για το έγγραφο με ημερομηνία 21 Φεβρουαρίου 2008 Αρ. 149/54- 144.
Ένας άλλος ειδικός υπέβαλε επίσης στο παρελθόν αίτημα στο FSB για παρόμοιο θέμα και του είπαν ότι η "Μεθοδολογία ..." και οι "Συστάσεις ..." του FSB του 2008 δεν θα έπρεπε να χρησιμοποιηθούν εάν μιλάτε για αυτά τα έγγραφα . Αλλά και πάλι, αυτά τα έγγραφα δεν έχουν ακυρωθεί επίσημα. Και αυτά τα έγγραφα είναι νόμιμα ή όχι, πιστεύω ότι θα αποφασιστούν από τους επιθεωρητές από το FSB που υπάρχει ήδη κατά τη διάρκεια της επιθεώρησης.
Ο νόμος λέει ότι πρέπει να προστατεύσετε την ΠΔ. Οι κανονισμοί της κυβέρνησης, της FSB, της FSTEC καθορίζουν ακριβώς πώς πρέπει να προστατεύονται. Το NPA από το FSB λέει: "Χρησιμοποιήστε πιστοποιημένο. Εάν δεν θέλετε να πιστοποιηθεί, αποδείξτε ότι μπορείτε να το χρησιμοποιήσετε. Και παρακαλώ, επισυνάψτε ένα συμπέρασμα σε αυτό από μια εταιρεία που έχει άδεια να εκδίδει τέτοια συμπεράσματα." Κάτι σαν αυτό...
Ο Alexey Lukatsky σχολιάζει...1. Οποιαδήποτε σύσταση είναι σύσταση, όχι υποχρεωτική απαίτηση.
2. Το εγχειρίδιο του 2015 δεν έχει καμία σχέση με χειριστές PD - ισχύει για κράτη που γράφουν μοντέλα απειλών για δευτερεύοντα ιδρύματα (με την επιφύλαξη της ρήτρας 1).
3. Το FSB δεν έχει το δικαίωμα να διενεργεί ελέγχους σε εμπορικούς φορείς εκμετάλλευσης PD και για τις κυβερνήσεις, το ζήτημα της χρήσης μη πιστοποιημένης προστασίας κρυπτογραφικών πληροφοριών δεν αξίζει τον κόπο - απαιτείται να χρησιμοποιούν πιστοποιημένες λύσεις, ανεξάρτητα από την παρουσία PD - Αυτές είναι οι απαιτήσεις του FZ-149.
4. Οι κανονισμοί λένε πώς να προστατεύσουμε και αυτό είναι εντάξει. Αλλά δεν μπορούν να καθορίσουν τη μορφή αξιολόγησης των διορθωτικών μέτρων - αυτό μπορεί να γίνει μόνο από την NPA της κυβέρνησης ή τον Πρόεδρο. Η FSB δεν είναι εξουσιοδοτημένη να το κάνει αυτό
Σύμφωνα με τον Κανονισμό 1119:
4. Η επιλογή των εργαλείων ασφάλειας πληροφοριών για το σύστημα προστασίας προσωπικών δεδομένων πραγματοποιείται από τον χειριστή σύμφωνα με τις κανονιστικές νομικές πράξεις που έχουν εγκριθεί από την Ομοσπονδιακή Υπηρεσία Ασφαλείας της Ρωσικής Ομοσπονδίας και την Ομοσπονδιακή Υπηρεσία Τεχνικού και Ελέγχου Εξαγωγών σύμφωνα με το Μέρος 4 του άρθρου 19 του ομοσπονδιακού νόμου "Περί Προσωπικών Δεδομένων".
13.ε. Η χρήση εργαλείων ασφάλειας πληροφοριών που έχουν περάσει τη διαδικασία αξιολόγησης της συμμόρφωσης με τις απαιτήσεις της νομοθεσίας της Ρωσικής Ομοσπονδίας στον τομέα της ασφάλειας πληροφοριών, στην περίπτωση που η χρήση τέτοιων εργαλείων είναι απαραίτητη για την εξουδετέρωση των τρεχουσών απειλών.
Πώς να δικαιολογήσετε τη μη συνάφεια της απειλής κατά τη μετάδοση PD μέσω των καναλιών του τηλεπικοινωνιακού φορέα;
Εκείνοι. αν όχι SKZI, τότε προφανώς
- πρόσβαση σε τερματικό και thin clients, αλλά ταυτόχρονα δεδομένα του συστήματος ασφάλειας πληροφοριών του τερματικού
η πρόσβαση πρέπει να είναι πιστοποιημένη.
- προστασία των καναλιών από τον πάροχο τηλεπικοινωνιών, ευθύνη του τηλεπικοινωνιακού φορέα (παρόχου).
Η ασχετοσύνη καθορίζεται από τον χειριστή και δεν χρειάζεται κανέναν για αυτό
Η χρήση κρυπτογραφικών μέσων προστασίας (CIPF) είναι ένα πολύ διφορούμενο και ολισθηρό θέμα. Ωστόσο, ο Διαχειριστής PD έχει το δικαίωμα, σε περίπτωση πραγματικών απειλών, να εφαρμόσει το CIPF για να εξασφαλίσει προστασία. Αλλά δεν είναι πάντα σαφές πώς να χρησιμοποιήσετε αυτό το δικαίωμα. Και τώρα το FSB κάνει τη ζωή πιο εύκολη, κυκλοφόρησε ένα έγγραφο μεθοδολογικών συστάσεων που ισχύουν τόσο για το κρατικό IS όσο και για όλους τους άλλους χειριστές PD. Ας ρίξουμε μια πιο προσεκτική ματιά σε αυτό το έγγραφο.
Και έτσι, έγινε, ανάρτησε το 8ο Κέντρο του FSB περιγράφοντας συστάσεις στον τομέα της ανάπτυξης κανονιστικών νομικών πράξεων για την προστασία του Π.Δ. Ταυτόχρονα, το ίδιο έγγραφο συνιστάται να χρησιμοποιείται από χειριστές ISPD κατά την ανάπτυξη μοντέλων ιδιωτικής απειλής.
Τι πιστεύει λοιπόν η FSB για το πώς και πού να εφαρμόσετε το CIPF;
Είναι αρκετά σημαντικό αυτό το έγγραφο να δημοσιεύεται μόνο στον ιστότοπο της FSB,δεν έχει εγγραφήστο Υπουργείο Δικαιοσύνης καιδεν φέρει υπογραφήΚαι- δηλαδή τη νομική του σημασία και δεσμευτική παραμένει εντός των κατευθυντήριων γραμμών. Είναι σημαντικό να το θυμάστε αυτό.
Ας δούμε μέσα, το προοίμιο του εγγράφου ορίζει αυτές τις συστάσεις "για ομοσπονδιακές εκτελεστικές αρχές ... άλλους κρατικούς φορείς ... που ... υιοθετούν κανονιστικές νομικές πράξεις που ορίζουν απειλές για την ασφάλεια των προσωπικών δεδομένων που σχετίζονται με την επεξεργασία προσωπικών δεδομένων σε συστήματα πληροφοριών προσωπικών δεδομένων (εφεξής ISPD) λειτουργούν για την υλοποίηση σχετικών δραστηριοτήτων». Εκείνοι. Γίνεται ρητή αναφορά στα κρατικά πληροφοριακά συστήματα.
Ωστόσο, ταυτόχρονα, αυτές οι ίδιες νόρμες «είναι επίσης σκόπιμο να καθοδηγείται από την ανάπτυξη Μοντέλα ιδιωτικής απειλήςχειριστές πληροφοριακών συστημάτων δεδομένων προσωπικού χαρακτήρα που έχουν λάβει απόφαση σχετικά με τη χρήση κεφαλαίων προστασία κρυπτογραφικών πληροφοριών(εφεξής καλούμενο CIPF) για τη διασφάλιση της ασφάλειας των προσωπικών δεδομένων». Εκείνοι. το έγγραφο σε αυτήν την περίπτωση γίνεται καθολικό για όλους τους χρήστες.
Πότε είναι απαραίτητη η χρήση του SKZI;
Η χρήση του CIPF για τη διασφάλιση της ασφάλειας των προσωπικών δεδομένων είναι απαραίτητη στις ακόλουθες περιπτώσεις:
- εάν τα προσωπικά δεδομένα υπόκεινται σε κρυπτογραφική προστασία σύμφωνα με τη νομοθεσία της Ρωσικής Ομοσπονδίας·
- εάν υπάρχουν απειλές στο σύστημα πληροφοριών που μπορούν να εξουδετερωθούν μόνο με τη βοήθεια του CIPF.
- μεταφορά προσωπικών δεδομένων μέσω καναλιών επικοινωνίας που δεν προστατεύονται από υποκλοπή από τον δράστη των πληροφοριών που μεταδίδονται μέσω αυτών ή από μη εξουσιοδοτημένες επιρροές σε αυτές τις πληροφορίες (για παράδειγμα, κατά τη μεταφορά προσωπικών δεδομένων μέσω δημόσιων δικτύων πληροφοριών και τηλεπικοινωνιών).
- αποθήκευση προσωπικών δεδομένων σε φορείς πληροφοριών, η μη εξουσιοδοτημένη πρόσβαση στην οποία ο παραβάτης δεν μπορεί να αποκλειστεί χρησιμοποιώντας μη κρυπτογραφικές μεθόδους και μεθόδους.
Και εκεί φτάνουμε. Εάν το δεύτερο σημείο είναι επίσης αρκετά λογικό, τότε το πρώτο δεν είναι τόσο προφανές. Το γεγονός είναι ότι, σύμφωνα με την τρέχουσα έκδοση του νόμου "Περί Προσωπικών Δεδομένων" όνομα, επώνυμο και πατρώνυμοείναι ήδη προσωπικά δεδομένα. Συνεπώς, οποιαδήποτε αλληλογραφία ή εγγραφή στον ιστότοπο (λαμβάνοντας υπόψη πόσα δεδομένα απαιτούνται επί του παρόντος κατά την εγγραφή) εμπίπτει τυπικά σε αυτόν τον ορισμό.
Αλλά, όπως λένε, δεν υπάρχουν κανόνες χωρίς εξαιρέσεις. Υπάρχουν δύο πίνακες στο τέλος του εγγράφου. Εδώ είναι μόνο μια γραμμή Εφαρμογές #1.
Τρέχουσα απειλή:
1.1. πραγματοποιώντας επίθεση ενώ βρίσκεστε εντός της ελεγχόμενης ζώνης.
Λόγος απουσίας (η λίστα είναι ελαφρώς συντομευμένη):
- οι εργαζόμενοι που είναι χρήστες του ISPD, αλλά δεν είναι χρήστες του CIPF, ενημερώνονται για τους κανόνες εργασίας στο ISPD και την ευθύνη για μη συμμόρφωση με τους κανόνες για τη διασφάλιση της ασφάλειας των πληροφοριών·
- Οι χρήστες του CIPF ενημερώνονται σχετικά με τους κανόνες εργασίας στο ISPD, τους κανόνες συνεργασίας με το CIPF και την ευθύνη για μη συμμόρφωση με τους κανόνες για τη διασφάλιση της ασφάλειας των πληροφοριών.
- οι χώροι στους οποίους βρίσκεται το σύστημα προστασίας κρυπτογραφικών πληροφοριών είναι εξοπλισμένοι με πόρτες εισόδου με κλειδαριές, διασφαλίζοντας ότι οι πόρτες των χώρων είναι μόνιμα κλειδωμένες και ανοιχτές μόνο για εξουσιοδοτημένη διέλευση·
- ενέκρινε τους κανόνες για την πρόσβαση στις εγκαταστάσεις όπου βρίσκεται το CIPF, κατά τις εργάσιμες και μη εργάσιμες ώρες, καθώς και σε καταστάσεις έκτακτης ανάγκης·
- εγκρίθηκε κατάλογος προσώπων που δικαιούνται πρόσβασης στις εγκαταστάσεις όπου βρίσκεται το CIPF·
- διαφοροποίηση και έλεγχος της πρόσβασης των χρηστών σε προστατευμένους πόρους·
- εγγραφή και καταγραφή των ενεργειών χρήστη με PD.
σε σταθμούς εργασίας και διακομιστές στους οποίους είναι εγκατεστημένο το CIPF:
χρησιμοποιούνται πιστοποιημένα μέσα προστασίας των πληροφοριών από μη εξουσιοδοτημένη πρόσβαση·- χρησιμοποιούνται πιστοποιημένα εργαλεία προστασίας από ιούς.
Δηλαδή, εάν οι χρήστες ενημερωθούν για τους κανόνες και τις ευθύνες, και εφαρμοστούν προστατευτικά μέτρα, τότε αποδεικνύεται ότι δεν υπάρχει τίποτα ανησυχητικό.
- Για τη διασφάλιση της ασφάλειας των προσωπικών δεδομένων κατά την επεξεργασία τους στο ISPD, θα πρέπει να χρησιμοποιούνται εργαλεία προστασίας κρυπτογραφικών πληροφοριών που έχουν περάσει τη διαδικασία αξιολόγησης της συμμόρφωσης με τον προβλεπόμενο τρόπο.
Είναι αλήθεια ότι λέει λίγο πιο κάτω ότι μια λίστα με πιστοποιημένα εργαλεία προστασίας κρυπτογραφικών πληροφοριών μπορεί να βρεθεί στον ιστότοπο του TsLSZ FSB. Το γεγονός ότι η αξιολόγηση της συμμόρφωσης δεν είναι πιστοποίηση έχει ειπωθεί επανειλημμένα.
- ελλείψει διαδικασιών αξιολόγησης της συμμόρφωσης CIPF που έχουν περάσει σύμφωνα με την καθιερωμένη διαδικασία ... στο στάδιο μιας προμελέτης ή σχεδίου (σκιτσοτεχνικού) έργου, ο προγραμματιστής του συστήματος πληροφοριών με τη συμμετοχή του χειριστή (εξουσιοδοτημένο πρόσωπο) και ο προτεινόμενος προγραμματιστής CIPF προετοιμάζει μια αιτιολόγηση για τη σκοπιμότητα ανάπτυξης ενός νέου τύπου CIPF και καθορίζει τις απαιτήσεις για τις λειτουργικές του ιδιότητες.
Πραγματικά ευχαριστεί. Γεγονός είναι ότι πιστοποίησηη διαδικασία είναι πολύ μεγάλη - έως έξι μήνες ή περισσότερο. Συχνά, οι πελάτες χρησιμοποιούν τα πιο πρόσφατα λειτουργικά συστήματα που δεν υποστηρίζονται από την πιστοποιημένη έκδοση. Σύμφωνα με αυτό το έγγραφο, οι πελάτες μπορούν να χρησιμοποιούν προϊόντα που βρίσκονται σε διαδικασία πιστοποίησης.
Το έγγραφο αναφέρει ότι:
Όταν χρησιμοποιείτε κανάλια επικοινωνίας (γραμμές) από τα οποία είναι αδύνατο να υποκλαπούν οι προστατευμένες πληροφορίες που μεταδίδονται μέσω αυτών και (ή) στα οποία είναι αδύνατο να πραγματοποιηθούν μη εξουσιοδοτημένες ενέργειες σε αυτές τις πληροφορίες, στη γενική περιγραφή των συστημάτων πληροφοριών, είναι απαραίτητο να υποδεικνύω:
- περιγραφή των μεθόδων και των μέσων προστασίας αυτών των καναλιών από μη εξουσιοδοτημένη πρόσβαση σε αυτά·
- συμπεράσματα με βάση τα αποτελέσματα μελετών για την ασφάλεια αυτών των καναλιών επικοινωνίας (γραμμών) από μη εξουσιοδοτημένη πρόσβαση σε προστατευμένες πληροφορίες που μεταδίδονται μέσω αυτών από οργανισμό που δικαιούται να διεξάγει τέτοιες μελέτες, με αναφορά στο έγγραφο που περιέχει αυτά τα συμπεράσματα.
Οι απαιτήσεις για την ασφάλεια των πληροφοριών στο σχεδιασμό πληροφοριακών συστημάτων υποδεικνύουν τα χαρακτηριστικά που χαρακτηρίζουν τα μέσα προστασίας των πληροφοριών που χρησιμοποιούνται. Καθορίζονται από διάφορες πράξεις ρυθμιστικών αρχών στον τομέα της ασφάλειας των πληροφοριών, ιδίως - το FSTEC και το FSB της Ρωσίας. Ποιες τάξεις ασφαλείας υπάρχουν, τύποι και τύποι εργαλείων προστασίας, καθώς και πού μπορείτε να μάθετε περισσότερα σχετικά με αυτό, αντικατοπτρίζονται στο άρθρο.
Εισαγωγή
Σήμερα, τα ζητήματα της διασφάλισης της ασφάλειας των πληροφοριών αποτελούν αντικείμενο ιδιαίτερης προσοχής, καθώς οι τεχνολογίες που εισάγονται παντού χωρίς ασφάλεια πληροφοριών γίνονται πηγή νέων σοβαρών προβλημάτων.
Η FSB της Ρωσίας αναφέρει τη σοβαρότητα της κατάστασης: το ύψος της ζημίας που προκλήθηκε από εγκληματίες του κυβερνοχώρου κατά τη διάρκεια πολλών ετών σε όλο τον κόσμο κυμάνθηκε από 300 δισεκατομμύρια δολάρια έως 1 τρισεκατομμύριο δολάρια. Σύμφωνα με τις πληροφορίες που παρείχε ο Γενικός Εισαγγελέας της Ρωσικής Ομοσπονδίας, μόνο το πρώτο εξάμηνο του 2017, ο αριθμός των εγκλημάτων στον τομέα των υψηλών τεχνολογιών στη Ρωσία αυξήθηκε έξι φορές, το συνολικό ποσό της ζημίας ξεπέρασε τα 18 εκατομμύρια δολάρια. Αύξηση σε στοχευμένες επιθέσεις στον βιομηχανικό τομέα το 2017 σημειώθηκε σε όλο τον κόσμο . Συγκεκριμένα, στη Ρωσία, η αύξηση του αριθμού των επιθέσεων σε σύγκριση με το 2016 ήταν 22%.
Οι τεχνολογίες πληροφοριών άρχισαν να χρησιμοποιούνται ως όπλο για στρατιωτικούς-πολιτικούς, τρομοκρατικούς σκοπούς, για παρέμβαση στις εσωτερικές υποθέσεις κυρίαρχων κρατών, καθώς και για τη διάπραξη άλλων εγκλημάτων. Η Ρωσική Ομοσπονδία υποστηρίζει τη δημιουργία ενός διεθνούς συστήματος ασφάλειας πληροφοριών.
Στην επικράτεια της Ρωσικής Ομοσπονδίας, οι ιδιοκτήτες πληροφοριών και οι διαχειριστές συστημάτων πληροφοριών υποχρεούνται να εμποδίζουν τις προσπάθειες μη εξουσιοδοτημένης πρόσβασης σε πληροφορίες, καθώς και να παρακολουθούν την κατάσταση ασφάλειας της υποδομής πληροφορικής σε συνεχή βάση. Παράλληλα, διασφαλίζεται η προστασία των πληροφοριών με τη λήψη διαφόρων μέτρων, μεταξύ των οποίων και τεχνικών.
Τα εργαλεία ασφάλειας πληροφοριών, ή εργαλεία ασφάλειας πληροφοριών, παρέχουν προστασία πληροφοριών σε συστήματα πληροφοριών, τα οποία είναι ουσιαστικά μια συλλογή πληροφοριών που αποθηκεύονται σε βάσεις δεδομένων, Τεχνολογίες πληροφορικής, παρέχοντας την επεξεργασία του, και τεχνικά μέσα.
Τα σύγχρονα πληροφοριακά συστήματα χαρακτηρίζονται από τη χρήση διαφόρων πλατφορμών υλικού και λογισμικού, την εδαφική κατανομή στοιχείων, καθώς και την αλληλεπίδραση με ανοιχτά δίκτυα μετάδοσης δεδομένων.
Πώς να προστατεύσετε τις πληροφορίες σε τέτοιες συνθήκες; Οι σχετικές απαιτήσεις επιβάλλονται από εξουσιοδοτημένους φορείς, ιδίως από την FSTEC και την FSB της Ρωσίας. Στο πλαίσιο του άρθρου, θα προσπαθήσουμε να αντικατοπτρίσουμε τις κύριες προσεγγίσεις για την ταξινόμηση των εγκαταστάσεων ασφάλειας πληροφοριών, λαμβάνοντας υπόψη τις απαιτήσεις αυτών των ρυθμιστικών αρχών. Άλλοι τρόποι περιγραφής της ταξινόμησης των εγκαταστάσεων ασφάλειας πληροφοριών, που αντικατοπτρίζονται στα κανονιστικά έγγραφα των ρωσικών τμημάτων, καθώς και ξένων οργανισμών και φορέων, δεν εμπίπτουν στο πεδίο εφαρμογής αυτού του άρθρου και δεν εξετάζονται περαιτέρω.
Το άρθρο μπορεί να είναι χρήσιμο για αρχάριους στον τομέα της ασφάλειας πληροφοριών ως πηγή δομημένων πληροφοριών σχετικά με τις μεθόδους ταξινόμησης πληροφοριών ασφάλειας πληροφοριών με βάση τις απαιτήσεις του FSTEC της Ρωσίας (σε μεγαλύτερο βαθμό) και, εν συντομία, του FSB της Ρωσίας .
Η δομή που καθορίζει τη διαδικασία και συντονίζει τις ενέργειες παροχής μη κρυπτογραφικών μεθόδων ασφάλειας πληροφοριών είναι η FSTEC της Ρωσίας (πρώην Κρατική Τεχνική Επιτροπή υπό τον Πρόεδρο της Ρωσικής Ομοσπονδίας, Κρατική Τεχνική Επιτροπή).
Εάν ο αναγνώστης έπρεπε να δει το Κρατικό Μητρώο των πιστοποιημένων εργαλείων ασφάλειας πληροφοριών, το οποίο σχηματίζεται από το FSTEC της Ρωσίας, τότε σίγουρα έδωσε προσοχή στην παρουσία στο περιγραφικό μέρος του σκοπού της εγκατάστασης ασφάλειας πληροφοριών φράσεων όπως "τάξη RD SVT», «επίπεδο απουσίας NDV», κ.λπ. (Εικόνα 1) .
Εικόνα 1. Ένα τμήμα του μητρώου πιστοποιημένων εγκαταστάσεων ασφάλειας πληροφοριών
Ταξινόμηση κρυπτογραφικών μέσων προστασίας πληροφοριών
Το FSB της Ρωσίας ορίζει τις ακόλουθες κατηγορίες εργαλείων ασφάλειας κρυπτογραφικών πληροφοριών: KS1, KS2, KS3, KB και KA.
Τα κύρια χαρακτηριστικά της κλάσης SZI KS1 περιλαμβάνουν την ικανότητά τους να αντέχουν σε επιθέσεις που πραγματοποιούνται εκτός της ελεγχόμενης ζώνης. Αυτό σημαίνει ότι η δημιουργία μεθόδων επίθεσης, η προετοιμασία και η εφαρμογή τους πραγματοποιείται χωρίς τη συμμετοχή ειδικών στην ανάπτυξη και ανάλυση εγκαταστάσεων ασφάλειας κρυπτογραφικών πληροφοριών. Υποτίθεται ότι πληροφορίες σχετικά με το σύστημα στο οποίο χρησιμοποιούνται αυτά τα εργαλεία ασφάλειας πληροφοριών μπορούν να ληφθούν από ανοιχτές πηγές.
Εάν ένα κρυπτογραφικό IPS μπορεί να αντέξει επιθέσεις που μπλοκάρονται μέσω της κλάσης CS1, καθώς και που πραγματοποιούνται εντός μιας ελεγχόμενης ζώνης, τότε αυτό το IPS αντιστοιχεί στην κλάση CS2. Ταυτόχρονα, θεωρείται, για παράδειγμα, ότι κατά την προετοιμασία μιας επίθεσης, θα μπορούσαν να γίνουν διαθέσιμες πληροφορίες σχετικά με φυσικά μέτρα προστασίας συστημάτων πληροφοριών, παροχής ελεγχόμενης ζώνης κ.λπ.
Εάν είναι δυνατόν να αντισταθείτε σε επιθέσεις με φυσική πρόσβαση σε κεφάλαια επιστήμη των υπολογιστώνμε εγκατεστημένη κρυπτογραφική ασφάλεια πληροφοριών σημαίνει ότι τέτοια μέσα αντιστοιχούν στην κλάση KS3.
Εάν μια εγκατάσταση ασφάλειας κρυπτογραφικών πληροφοριών αντιστέκεται σε επιθέσεις, η δημιουργία των οποίων αφορούσε ειδικούς στην ανάπτυξη και ανάλυση αυτών των εργαλείων, συμπεριλαμβανομένων των ερευνητικών κέντρων, ήταν δυνατή η διεξαγωγή εργαστηριακών μελετών εργαλείων προστασίας, τότε μιλάμε για συμμόρφωση με την κλάση KV.
Εάν ειδικοί στον τομέα της χρήσης λογισμικού συστήματος NDV συμμετείχαν στην ανάπτυξη μεθόδων επίθεσης, ήταν διαθέσιμη η αντίστοιχη τεκμηρίωση σχεδιασμού και υπήρχε πρόσβαση σε οποιοδήποτε στοιχείο υλικού των εγκαταστάσεων ασφάλειας κρυπτογραφικών πληροφοριών, τότε η προστασία από τέτοιες επιθέσεις μπορεί να παρασχεθεί με μέσα της τάξης ΚΑ.
Ταξινόμηση μέσων προστασίας ηλεκτρονικής υπογραφής
Τα μέσα ηλεκτρονικής υπογραφής, ανάλογα με την ικανότητα αντίστασης σε επιθέσεις, συγκρίνονται συνήθως με τις ακόλουθες κατηγορίες: KS1, KS2, KS3, KB1, KB2 και KA1. Αυτή η ταξινόμηση είναι παρόμοια με αυτή που συζητήθηκε παραπάνω σε σχέση με το κρυπτογραφικό IPS.
συμπεράσματα
Το άρθρο εξέτασε ορισμένες μεθόδους ταξινόμησης της ασφάλειας πληροφοριών στη Ρωσία, οι οποίες βασίζονται στο ρυθμιστικό πλαίσιο των ρυθμιστικών αρχών στον τομέα της προστασίας των πληροφοριών. Οι εξεταζόμενες επιλογές ταξινόμησης δεν είναι εξαντλητικές. Ωστόσο, ελπίζουμε ότι οι παρουσιαζόμενες συνοπτικές πληροφορίες θα επιτρέψουν σε έναν αρχάριο ειδικό στον τομέα της ασφάλειας πληροφοριών να πλοηγηθεί γρήγορα.
