Dari perspektif keselamatan maklumat, kunci kriptografi ialah data kritikal. Jika sebelum ini, untuk merompak syarikat, penyerang terpaksa memasuki wilayahnya, premis terbuka dan peti besi, kini sudah cukup untuk mencuri token dengan kunci kriptografi dan membuat pemindahan melalui sistem Internet Client-Bank. Asas memastikan keselamatan menggunakan sistem perlindungan maklumat kriptografi (CIPS) adalah mengekalkan kerahsiaan kunci kriptografi.
Bagaimanakah anda boleh memastikan kerahsiaan sesuatu yang anda tidak tahu wujud? Untuk meletakkan token dengan kunci ke dalam peti besi, anda perlu tahu tentang kewujudan token dan peti besi. Walaupun kedengarannya paradoks, sangat sedikit syarikat yang mempunyai idea tentang jumlah tepat dokumen penting yang mereka gunakan. Ini boleh berlaku atas beberapa sebab, contohnya, memandang rendah ancaman keselamatan maklumat, kekurangan proses perniagaan yang mantap, kelayakan kakitangan yang tidak mencukupi dalam hal keselamatan, dsb. Mereka biasanya mengingati tugas ini selepas kejadian, seperti ini.
Artikel ini akan menerangkan langkah pertama ke arah meningkatkan keselamatan maklumat menggunakan alat crypto, atau lebih tepat lagi, kami akan mempertimbangkan salah satu pendekatan untuk menjalankan audit CIPF dan kunci crypto. Penceritaan akan dijalankan bagi pihak pakar keselamatan maklumat, dan kami akan menganggap bahawa kerja itu dijalankan dari awal.
Terma dan Definisi
Pada permulaan artikel, untuk tidak menakutkan pembaca yang tidak bersedia dengan definisi yang kompleks, kami menggunakan istilah kunci kriptografi atau kunci kriptografi secara meluas; kini tiba masanya untuk menambah baik peralatan konsep kami dan mematuhi undang-undang semasa. Ini adalah langkah yang sangat penting, kerana ia akan membolehkan anda menstrukturkan maklumat yang diperolehi daripada keputusan audit dengan berkesan.
- Kunci kriptografi (cryptokey)- satu set data yang menyediakan pilihan satu transformasi kriptografi khusus daripada semua yang mungkin dalam sistem kriptografi tertentu (takrifan daripada "arahan merah jambu - Perintah FAPSI No. 152 pada 13 Jun 2001, selepas ini dirujuk sebagai FAPSI 152).
- Maklumat penting- satu set kunci kripto yang dianjurkan khas yang direka untuk menyediakan perlindungan maklumat kriptografi untuk tempoh masa tertentu [FAPSI 152].
Anda boleh memahami perbezaan asas antara kunci kripto dan maklumat utama menggunakan contoh berikut. Apabila mengatur HTTPS, pasangan kunci awam dan peribadi dijana, dan sijil diperoleh daripada kunci awam dan maklumat tambahan. Jadi, dalam skim ini, gabungan sijil dan kunci persendirian membentuk maklumat kunci, dan setiap satu daripadanya secara individu ialah kunci kripto. Di sini anda boleh dibimbing oleh peraturan mudah berikut - pengguna akhir menggunakan maklumat utama semasa bekerja dengan CIPF, dan kunci kripto biasanya menggunakan CIPF secara dalaman. Pada masa yang sama, adalah penting untuk memahami bahawa maklumat utama mungkin terdiri daripada satu kunci kripto. - Dokumen utama- dokumen elektronik pada mana-mana media, serta dokumen kertas yang mengandungi maklumat utama akses terhad untuk transformasi kriptografi maklumat menggunakan algoritma untuk transformasi kriptografi maklumat (kunci kriptografi) dalam cara penyulitan (kriptografi). (takrifan daripada Keputusan Kerajaan No. 313 bertarikh 16 April 2012, selepas ini dirujuk sebagai PP-313)
Secara ringkasnya, dokumen utama ialah maklumat penting yang direkodkan pada medium. Apabila menganalisis maklumat penting dan dokumen utama, perlu diserlahkan bahawa maklumat utama dieksploitasi (iaitu, digunakan untuk transformasi kriptografi - penyulitan, tandatangan elektronik, dll.), dan dokumen utama yang mengandunginya dipindahkan kepada pekerja. - Cara perlindungan maklumat kriptografi (CIPF)– cara penyulitan, cara perlindungan tiruan, cara tandatangan elektronik, cara pengekodan, cara untuk menghasilkan dokumen utama, dokumen utama, cara penyulitan perkakasan (kriptografi), cara penyulitan perisian dan perkakasan (kriptografi). [PP-313]
Apabila menganalisis definisi ini, anda boleh mendapati di dalamnya terdapat istilah dokumen utama. Istilah itu diberikan dalam Dekri Kerajaan dan kami tidak berhak mengubahnya. Pada masa yang sama, penerangan lanjut akan dijalankan berdasarkan CIPF hanya akan memasukkan cara untuk melaksanakan transformasi kriptografi). Pendekatan ini akan memudahkan audit, tetapi pada masa yang sama tidak akan menjejaskan kualitinya, kerana kami masih akan mengambil kira dokumen utama, tetapi dalam bahagian kami sendiri dan menggunakan kaedah kami sendiri.
Metodologi audit dan hasil yang dijangkakan
Ciri-ciri utama metodologi audit yang dicadangkan dalam artikel ini ialah postulat bahawa:
- tiada pekerja syarikat boleh menjawab dengan tepat soalan yang ditanya semasa audit;
- sumber data sedia ada (senarai, daftar, dsb.) tidak tepat atau kurang berstruktur.
Berikut adalah kebergantungan utama yang akan membantu kami dengan ini:
- Sekiranya terdapat CIPF, maka terdapat maklumat penting.
- Jika terdapat aliran dokumen elektronik (termasuk dengan rakan niaga dan pengawal selia), maka kemungkinan besar ia menggunakan tandatangan elektronik dan, akibatnya, CIPF dan maklumat penting.
- Pengurusan dokumen elektronik dalam konteks ini harus difahami secara meluas, iaitu, ia akan merangkumi kedua-dua pertukaran langsung dokumen elektronik penting dari segi undang-undang, dan penyerahan laporan, dan bekerja dalam sistem pembayaran atau perdagangan, dan sebagainya. Senarai dan bentuk pengurusan dokumen elektronik ditentukan oleh proses perniagaan syarikat, serta perundangan semasa.
- Sekiranya pekerja terlibat dalam pengurusan dokumen elektronik, kemungkinan besar dia mempunyai dokumen penting.
- Apabila menganjurkan pengurusan dokumen elektronik dengan rakan niaga, dokumen organisasi dan pentadbiran (pesanan) biasanya dikeluarkan pada pelantikan orang yang bertanggungjawab.
- Jika maklumat dihantar melalui Internet (atau rangkaian awam lain), kemungkinan besar ia disulitkan. Ini terutamanya terpakai kepada VPN dan pelbagai sistem akses jauh.
- Jika protokol dikesan dalam trafik rangkaian yang menghantar trafik dalam bentuk yang disulitkan, maka CIPF dan maklumat utama digunakan.
- Jika penyelesaian dibuat dengan rakan niaga yang terlibat dalam: pembekalan peralatan keselamatan maklumat, peranti telekomunikasi, penyediaan perkhidmatan untuk pemindahan maklumat, perkhidmatan pusat pensijilan, maka semasa interaksi ini CIPF atau dokumen utama boleh dibeli.
- Dokumen utama boleh sama ada pada media boleh alih (cakera liut, pemacu kilat, token, ...) atau dirakam di dalam komputer dan sistem perlindungan maklumat kriptografi perkakasan.
- Apabila menggunakan alat virtualisasi, dokumen utama boleh disimpan di dalam mesin maya dan dipasang pada mesin maya menggunakan hypervisor.
- Perkakasan CIPF boleh dipasang di bilik pelayan dan tidak tersedia untuk analisis melalui rangkaian.
- Sesetengah sistem pengurusan dokumen elektronik mungkin dalam bentuk tidak aktif atau tidak aktif, tetapi pada masa yang sama mengandungi maklumat kunci aktif dan CIPF.
- Dokumentasi kawal selia dan organisasi dalaman mungkin mengandungi maklumat tentang sistem pengurusan dokumen elektronik, CIPF dan dokumen utama.
- temuduga pekerja;
- menganalisis dokumentasi syarikat, termasuk dokumen kawal selia dan pentadbiran dalaman, serta pesanan pembayaran keluar;
- menjalankan analisis visual bilik pelayan dan kabinet komunikasi;
- menjalankan analisis teknikal kandungan stesen kerja automatik (AWS), pelayan dan alatan virtualisasi.
Senarai CIPF:
- model CIPF. Contohnya, CIPF Crypto CSP 3.9, atau OpenSSL 1.0.1
- pengecam contoh CIPF. Contohnya, nombor bersiri, lesen (atau pendaftaran mengikut PKZ-2005) CIPF
- Maklumat mengenai sijil FSB Rusia untuk perlindungan maklumat kriptografi, termasuk nombor dan tarikh mula dan tamat kesahan.
- Maklumat tentang tempat operasi CIPF. Contohnya, nama komputer di mana perisian CIPF dipasang, atau nama cara teknikal atau premis tempat CIPF perkakasan dipasang.
- Uruskan kelemahan dalam CIPF, iaitu, cepat mengesan dan membetulkannya.
- Pantau tempoh sah sijil untuk CIPF, dan juga semak sama ada CIPF yang diperakui digunakan mengikut peraturan yang ditetapkan oleh dokumentasi atau tidak.
- Rancang kos untuk CIPF, mengetahui berapa banyak yang sudah beroperasi dan berapa banyak dana disatukan masih tersedia.
- Menjana pelaporan peraturan.
Untuk setiap elemen senarai kami merekodkan data berikut:
- Nama atau pengecam maklumat penting. Contohnya, “Kunci tandatangan elektronik yang layak. Nombor siri sijil 31:2D:AF", dan pengecam harus dipilih dengan cara yang kunci boleh ditemui olehnya. Contohnya, apabila menghantar pemberitahuan, pihak berkuasa pensijilan biasanya mengenal pasti kunci melalui nombor sijil.
- Pusat kawalan sistem kunci (KSUC), yang mengeluarkan maklumat penting ini. Ini mungkin organisasi yang mengeluarkan kunci, contohnya, pihak berkuasa pensijilan.
- individu, yang atas namanya maklumat utama telah dikeluarkan. Maklumat ini boleh diekstrak daripada medan CN sijil X.509
- Format Maklumat Utama. Contohnya, CIPF CryptoPRO, CIPF Verba-OW, X.509, dsb. (atau dalam erti kata lain untuk kegunaan yang CIPF maklumat utama ini dimaksudkan).
- Menetapkan Maklumat Utama. Sebagai contoh, "Penyertaan dalam perdagangan di tapak Sberbank AST", "Tandatangan elektronik yang layak untuk pelaporan", dsb. Dari sudut pandangan teknikal, dalam medan ini anda boleh merekodkan sekatan yang direkodkan dalam medan penggunaan kunci lanjutan dan sijil X.509 yang lain.
- Mula dan tamat tempoh sah maklumat penting.
- Prosedur untuk mengeluarkan semula maklumat penting. Iaitu, pengetahuan tentang apa yang perlu dilakukan dan bagaimana apabila mengeluarkan semula maklumat penting. Sekurang-kurangnya, adalah dinasihatkan untuk merekodkan kenalan pegawai pusat kawalan pusat yang mengeluarkan maklumat penting.
- Senarai sistem maklumat, perkhidmatan atau proses perniagaan di mana maklumat utama digunakan. Contohnya, "Sistem perkhidmatan perbankan jauh Internet-Bank Pelanggan".
- Jejaki tarikh tamat tempoh maklumat penting.
- Keluarkan semula maklumat penting dengan cepat apabila perlu. Ini mungkin diperlukan untuk keluaran semula yang dirancang dan tidak berjadual.
- Sekat penggunaan maklumat penting apabila pekerja dibuang kerja untuknya maklumat itu dikeluarkan.
- Siasat insiden keselamatan maklumat dengan menjawab soalan: "Siapa yang mempunyai kunci untuk membuat pembayaran?" dan lain-lain.
Untuk setiap elemen senarai kami merekodkan data berikut:
- Maklumat penting terkandung dalam dokumen kunci.
- Pembawa maklumat utama, yang mana maklumat penting direkodkan.
- Muka, bertanggungjawab untuk keselamatan dokumen utama dan kerahsiaan maklumat penting yang terkandung di dalamnya.
- Keluarkan semula maklumat penting dalam kes: pemecatan pekerja yang memegang dokumen penting, serta dalam kes kompromi media.
- Pastikan kerahsiaan maklumat penting dengan menginventori media yang mengandunginya.
Pelan audit
Masanya telah tiba untuk mempertimbangkan ciri-ciri praktikal menjalankan audit. Mari kita lakukan ini menggunakan contoh institusi kewangan atau, dengan kata lain, menggunakan contoh bank. Contoh ini tidak dipilih secara kebetulan. Bank menggunakan sejumlah besar sistem perlindungan kriptografi yang berbeza, yang terlibat dalam sejumlah besar proses perniagaan, dan selain itu, hampir semua bank adalah Pemegang Lesen FSB Rusia untuk kriptografi. Selanjutnya dalam artikel itu, pelan audit untuk CIPF dan kunci kripto akan dibentangkan berkaitan dengan Bank. Pada masa yang sama, pelan ini boleh diambil sebagai asas semasa menjalankan audit ke atas hampir mana-mana syarikat. Untuk memudahkan persepsi, rancangan itu dibahagikan kepada beberapa peringkat, yang seterusnya runtuh menjadi spoiler.
Peringkat 1. Pengumpulan data daripada jabatan infrastruktur syarikat
| № | Tindakan | |
| Sumber – semua pekerja syarikat | ||
| 1 | Kami menghantar e-mel korporat kepada semua pekerja syarikat yang meminta mereka memaklumkan perkhidmatan keselamatan maklumat tentang semua kunci kriptografi yang mereka gunakan. | Kami menerima e-mel, yang berdasarkannya kami membuat senarai maklumat penting dan senarai dokumen penting |
| Sumber – Ketua Perkhidmatan Teknologi Maklumat | ||
| 1 | Kami meminta senarai maklumat penting dan dokumen penting | Dengan sedikit kebarangkalian, Perkhidmatan IT mengekalkan dokumen yang serupa; kami akan menggunakannya untuk menjana dan menjelaskan senarai maklumat penting, dokumen utama dan CIPF |
| 2 | Kami meminta senarai CIPF | |
| 3 | Kami meminta daftar perisian yang dipasang pada pelayan dan stesen kerja | Dalam pendaftaran ini kami sedang mencari perisian CIPF dan komponennya. Contohnya, CryptoPRO CSP, Verba-OW, Signal-COM CSP, Tandatangan, PGP, ruToken, eToken, KritoARM, dll. Berdasarkan data ini, kami membentuk senarai CIPF. |
| 4 | Kami meminta senarai pekerja (mungkin sokongan teknikal) yang membantu pengguna menggunakan CIPF dan mengeluarkan semula maklumat penting. | Kami meminta daripada individu ini maklumat yang sama seperti daripada pentadbir sistem |
| Sumber – pentadbir sistem Perkhidmatan Teknologi Maklumat | ||
| 1 | Kami meminta senarai gerbang kripto domestik (VIPNET, Benua, S-terra, dll.) | Dalam kes di mana syarikat tidak melaksanakan proses perniagaan biasa untuk IT dan pengurusan keselamatan maklumat, soalan sedemikian boleh membantu mengingatkan pentadbir sistem tentang kewujudan peranti atau perisian tertentu. Kami menggunakan maklumat ini untuk mendapatkan senarai CIPF. |
| 2 | Kami meminta senarai perisian domestik CIPF (CIPF MagPro CryptoPacket, VIPNET CSP, CryptonDisk, SecretDisk, ...) | |
| 3 | Kami meminta senarai penghala yang melaksanakan VPN untuk: a) komunikasi antara pejabat syarikat; b) interaksi dengan kontraktor dan rakan kongsi. |
|
| 4 | Kami meminta senarai perkhidmatan maklumat yang diterbitkan di Internet (boleh diakses dari Internet). Ini mungkin termasuk: a) e-mel korporat; b) sistem pesanan segera; c) laman web korporat; d) perkhidmatan untuk bertukar maklumat dengan rakan kongsi dan kontraktor (ekstranet); e) sistem perbankan jauh (jika syarikat itu adalah Bank); f) sistem capaian jauh ke rangkaian syarikat. Untuk menyemak kesempurnaan maklumat yang diberikan, kami membandingkannya dengan senarai peraturan Portforwarding bagi tembok api tepi. |
Menganalisis maklumat yang diterima, kemungkinan besar anda akan menghadapi penggunaan CIPF dan kunci kripto. Kami menggunakan data yang diperoleh untuk menjana senarai CIPF dan maklumat penting. |
| 5 | Kami meminta senarai sistem maklumat yang digunakan untuk pelaporan (Taxcom, Kontur, dsb.) | Sistem ini menggunakan kunci tandatangan elektronik yang layak dan CIPF. Melalui senarai ini, kami membuat senarai CIPF, senarai maklumat penting, dan juga mengetahui pekerja yang menggunakan sistem ini untuk membuat senarai dokumen utama. |
| 6 | Kami meminta senarai sistem pengurusan dokumen elektronik dalaman (Lotus, DIRECTUM, 1C: Pengurusan Dokumen, dll.), serta senarai penggunanya. | Kunci tandatangan elektronik boleh didapati dalam sistem pengurusan dokumen elektronik dalaman. Berdasarkan maklumat yang diterima, kami membuat senarai maklumat penting dan senarai dokumen penting. |
| 7 | Kami meminta senarai pusat pensijilan dalaman. | Cara yang digunakan untuk menganjurkan pusat pensijilan direkodkan dalam senarai CIPF. Pada masa hadapan, kami akan menganalisis kandungan pangkalan data pihak berkuasa pensijilan untuk mengenal pasti maklumat penting. |
| 8 | Kami meminta maklumat tentang penggunaan teknologi: IEEE 802.1x, WiFiWPA2 Enterprise dan sistem pengawasan video IP | Jika teknologi ini digunakan, kami mungkin menemui dokumen penting pada peranti yang terlibat. |
| Sumber – Ketua Sumber Manusia | ||
| 1 | Sila terangkan proses pengambilan dan pecat pekerja. Kami memberi tumpuan kepada persoalan siapa yang mengambil dokumen penting daripada meletakkan jawatan pekerja | Kami menganalisis dokumen (lembaran pintasan) untuk kehadiran sistem maklumat di dalamnya di mana CIPF boleh digunakan. |
Peringkat 2. Pengumpulan data daripada unit perniagaan syarikat (menggunakan contoh Bank)
| № | Tindakan | Hasil yang dijangkakan dan penggunaannya |
| Sumber – Ketua perkhidmatan penyelesaian (hubungan wartawan) | ||
| 1 | Sila sediakan skim untuk mengatur interaksi dengan sistem pembayaran Bank of Russia. Khususnya, ini akan relevan untuk Bank yang mempunyai rangkaian cawangan yang dibangunkan, di mana cawangan boleh menyambung terus ke sistem pembayaran Bank Pusat | Berdasarkan data yang diterima, kami menentukan lokasi gerbang pembayaran (AWC KBR, UTA) dan senarai pengguna yang terlibat. Kami menggunakan maklumat yang diterima untuk membuat senarai CIPF, maklumat penting dan dokumen penting. |
| 2 | Kami meminta senarai Bank yang mempunyai hubungan koresponden langsung, dan juga meminta untuk memberitahu kami siapa yang terlibat dalam membuat pemindahan dan cara teknikal yang digunakan. | |
| 3 | Kami meminta senarai sistem pembayaran yang mana Bank mengambil bahagian (SWIFT, VISA, MasterCard, NSPK, dll.), serta lokasi terminal komunikasi | Sama seperti sistem pembayaran Bank Rusia |
| Sumber – Ketua jabatan yang bertanggungjawab menyediakan perkhidmatan perbankan jarak jauh | ||
| 1 | Kami meminta senarai sistem perbankan jauh. | Dalam sistem ini, kami menganalisis penggunaan CIPF dan maklumat penting. Berdasarkan data yang diterima, kami membuat senarai CIPF dan maklumat penting serta dokumen penting. |
| Sumber – Ketua jabatan yang bertanggungjawab ke atas fungsi pemprosesan kad pembayaran | ||
| 1 | Meminta pendaftaran HSM | Berdasarkan maklumat yang diterima, kami mencipta senarai CIPF, maklumat penting dan dokumen penting. |
| 2 | Kami meminta daftar pegawai keselamatan | |
| 4 | Kami meminta maklumat tentang komponen LMK HSM | |
| 5 | Kami meminta maklumat tentang organisasi sistem seperti 3D-Secure dan organisasi pemperibadian kad pembayaran | |
| Sumber – Ketua jabatan yang menjalankan fungsi perbendaharaan dan depositori | ||
| 1 | Senarai bank yang telah menjalinkan hubungan wartawan dan yang mengambil bahagian dalam pemberian pinjaman antara bank. | Kami menggunakan maklumat yang diterima untuk menjelaskan data yang diterima sebelum ini daripada perkhidmatan penyelesaian, dan juga merekodkan maklumat tentang interaksi dengan bursa dan depositori. Berdasarkan maklumat yang diterima, kami membuat senarai CIPF dan maklumat penting. |
| 2 | Senarai bursa dan depositori khusus yang mana Bank bekerja | |
| Sumber – Ketua perkhidmatan pemantauan kewangan dan jabatan yang bertanggungjawab untuk menyerahkan laporan kepada Bank of Russia | ||
| 1 | Kami meminta maklumat tentang cara mereka menghantar maklumat dan menerima maklumat daripada Bank Pusat. Senarai orang dan peralatan teknikal yang terlibat. | Interaksi maklumat dengan Bank of Russia dikawal ketat oleh dokumen yang berkaitan, contohnya, 2332-U, 321-I dan banyak lagi, kami menyemak pematuhan dengan dokumen ini dan membuat senarai CIPF, maklumat penting dan dokumen utama. |
| Sumber – Ketua akauntan dan pekerja perakaunan yang terlibat dalam membayar bil untuk keperluan intrabank | ||
| 1 | Kami meminta maklumat tentang cara laporan disediakan dan diserahkan kepada pemeriksa cukai dan Bank of Russia | Kami menjelaskan maklumat yang diterima sebelum ini |
| 2 | Kami meminta daftar dokumen pembayaran untuk membayar keperluan dalam bank | Dalam daftar ini kami akan mencari dokumen di mana: 1) pusat pensijilan, pengendali telekom khusus, pengilang CIPF, dan pembekal peralatan telekomunikasi ditunjukkan sebagai penerima pembayaran. Nama-nama syarikat ini boleh didapati dari Daftar CIPF yang diperakui FSB Rusia, senarai pusat pensijilan terakreditasi Kementerian Telekom dan Komunikasi Massa dan sumber lain. 2) sebagai penyahsulitan pembayaran terdapat perkataan: "CIPF", "tandatangan", "token", "kunci", "BKI", dll. |
| Sumber – Ketua hutang tertunggak dan perkhidmatan pengurusan risiko | ||
| 1 | Kami meminta senarai biro sejarah kredit dan agensi kutipan yang Bank bekerja. | Bersama-sama dengan perkhidmatan IT, kami menganalisis data yang diterima untuk menjelaskan organisasi pengurusan dokumen elektronik, yang berdasarkannya kami menjelaskan senarai CIPF, maklumat penting dan dokumen utama. |
| Sumber – Ketua pengurusan dokumen, kawalan dalaman dan perkhidmatan audit dalaman | ||
| 1 | Kami meminta daftar dokumen organisasi dan pentadbiran dalaman (pesanan). | Dalam dokumen ini kami mencari dokumen yang berkaitan dengan CIPF. Untuk melakukan ini, kami menganalisis kehadiran kata kunci "keselamatan", "orang yang bertanggungjawab", "pentadbir", "tandatangan elektronik", "tandatangan digital", "tandatangan digital", "tandatangan digital", "tandatangan digital digital", “ASP”, “CIPF” dan terbitannya. Kemudian kami mengenal pasti senarai pekerja Bank yang direkodkan dalam dokumen ini. Kami mengadakan temu bual dengan pekerja tentang penggunaan mata wang kripto oleh mereka. Maklumat yang diterima ditunjukkan dalam senarai CIPF, maklumat penting dan dokumen penting. |
| 2 | Kami meminta senarai perjanjian dengan rakan niaga | Kami cuba mengenal pasti perjanjian mengenai pengurusan dokumen elektronik, serta perjanjian dengan syarikat yang menyediakan produk keselamatan maklumat atau menyediakan perkhidmatan dalam bidang ini, serta syarikat yang menyediakan perkhidmatan pusat pensijilan dan perkhidmatan pelaporan melalui Internet. |
| 3 | Kami menganalisis teknologi untuk menyimpan dokumen harian dalam bentuk elektronik | Apabila melaksanakan penyimpanan dokumen hari itu dalam bentuk elektronik, perlindungan maklumat kriptografi mesti digunakan |
Peringkat 3. Audit teknikal
| № | Tindakan | Hasil yang dijangkakan dan penggunaannya |
| 1 | Kami menjalankan inventori teknikal perisian yang dipasang pada komputer. Untuk melakukan ini kami menggunakan: · keupayaan analisis sistem perlindungan anti-virus korporat (contohnya, Kaspersky Anti-Virus boleh membina pendaftaran yang serupa). · Skrip WMI untuk komputer pengundian yang menjalankan OS Windows; · keupayaan pengurus pakej untuk sistem undian *nix; · perisian khusus untuk inventori. |
Antara perisian yang dipasang, kami sedang mencari perisian CIPF, pemacu untuk perkakasan CIPF dan media utama. Berdasarkan maklumat yang diterima, kami mengemas kini senarai CIPF. |
| 2 | Kami mencari dokumen utama pada pelayan dan stesen kerja. Untuk ini · Menggunakan skrip Logon, kami menanya stesen kerja dalam domain untuk kehadiran sijil dengan kunci peribadi dalam profil pengguna dan profil komputer. · Pada semua komputer, pelayan fail, hipervisor, kami mencari fail dengan sambungan: crt, cer, key, pfx, p12, pem, pse, jks, dsb. · Pada hipervisor sistem virtualisasi, kami mencari pemacu cakera yang dipasang dan imej cakera liut. |
Selalunya, dokumen utama dibentangkan dalam bentuk bekas kunci fail, serta bekas yang disimpan dalam pendaftaran komputer yang menjalankan OS Windows. Dokumen utama yang ditemui direkodkan dalam senarai dokumen utama, dan maklumat utama yang terkandung di dalamnya direkodkan dalam senarai maklumat utama. |
| 3 | Kami menganalisis kandungan pangkalan data pihak berkuasa pensijilan | Pangkalan data pihak berkuasa pensijilan biasanya mengandungi data tentang sijil yang dikeluarkan oleh pihak berkuasa ini. Kami memasukkan maklumat yang diterima ke dalam senarai maklumat utama dan senarai dokumen penting. |
| 4 | Kami menjalankan pemeriksaan visual bilik pelayan dan almari pendawaian, mencari CIPF dan media kunci perkakasan (token, pemacu cakera) | Dalam sesetengah kes, adalah mustahil untuk menjalankan inventori CIPF dan dokumen penting melalui rangkaian. Sistem mungkin terletak dalam segmen rangkaian terpencil atau tidak mempunyai sambungan rangkaian sama sekali. Untuk melakukan ini, kami menjalankan pemeriksaan visual, yang hasilnya harus menetapkan nama dan tujuan semua peralatan yang dibentangkan di bilik pelayan. Kami memasukkan maklumat yang diterima ke dalam senarai CIPF dan dokumen penting. |
| 5 | Kami menganalisis trafik rangkaian untuk mengenal pasti aliran maklumat menggunakan pertukaran yang disulitkan | Protokol yang disulitkan - HTTPS, SSH, dsb. akan membolehkan kami mengenal pasti nod rangkaian yang mana transformasi kriptografi dilakukan, dan akibatnya mengandungi CIPF dan dokumen utama. |
Kesimpulan
Dalam artikel ini, kami mengkaji teori dan amalan mengaudit CIPF dan kunci kripto. Seperti yang anda lihat, prosedur ini agak rumit dan memakan masa, tetapi jika anda mendekatinya dengan betul ia agak boleh dilaksanakan. Kami berharap artikel ini dapat membantu anda dalam kehidupan sebenar. Terima kasih atas perhatian anda, kami mengharapkan komen andaTag:
- skzi
- kriptografi
- Tandatangan elektronik
- audit
- pengurusan
Dengar... bolehkah anda, untuk faedah kita bersama, mencetak setiap surat yang sampai di pejabat pos anda, masuk dan keluar, anda tahu, sedikit sebanyak dan membacanya: adakah ia mengandungi beberapa jenis laporan atau hanya surat-menyurat... .
N.V. Gogol "Inspektor Jeneral"
Sebaik-baiknya, hanya dua orang yang boleh membaca surat sulit: pengirim dan orang yang dialamatkan. Perumusan perkara yang kelihatan sangat mudah itu adalah titik permulaan sistem perlindungan kriptografi. Perkembangan matematik memberi dorongan kepada pembangunan sistem tersebut.
Sudah pada abad ke-17-18, sifir di Rusia agak canggih dan tahan retak. Ramai ahli matematik Rusia bekerja untuk mencipta atau menambah baik sistem penyulitan dan pada masa yang sama cuba mencari kunci kepada sifir sistem lain. Pada masa ini, beberapa sistem penyulitan Rusia boleh diperhatikan, seperti Lexicon Verba, Secret Net, DALLAS LOCK, Secret Disk, keluarga produk Accord, dll. Kami akan membincangkannya. Anda juga akan berkenalan dengan kriptografi perisian dan perkakasan utama kompleks perlindungan, belajar tentang keupayaan, kekuatan dan kelemahan mereka. Kami berharap artikel ini akan membantu anda membuat pilihan sistem perlindungan kripto.
pengenalan
Adakah anda bimbang maklumat penting pada komputer anda mungkin jatuh ke tangan yang salah? Maklumat ini boleh digunakan oleh pesaing, pihak berkuasa kawal selia, dan hanya mereka yang tidak berpuas hati. Jelas sekali, tindakan sedemikian boleh menyebabkan anda mengalami kerosakan yang ketara. Apa nak buat? Untuk melindungi maklumat anda daripada orang yang tidak dikenali, anda perlu memasang salah satu program penyulitan data. Kajian kami ditumpukan kepada analisis sistem penyulitan untuk sistem desktop. Perlu diingatkan bahawa penggunaan sistem penyulitan asing di Rusia sangat terhad untuk beberapa sebab, jadi organisasi kerajaan dan syarikat domestik yang besar terpaksa menggunakan perkembangan Rusia. Walau bagaimanapun, syarikat sederhana dan kecil, serta individu, kadang-kadang lebih suka sistem asing.
Bagi yang belum tahu, menyulitkan maklumat kelihatan seperti sihir hitam. Sesungguhnya, menyulitkan mesej untuk menyembunyikan kandungannya daripada orang luar adalah masalah matematik yang kompleks. Di samping itu, sifir mesti dipilih sedemikian rupa sehingga hampir mustahil untuk membukanya tanpa kunci, tetapi dengan kunci - dengan cepat dan mudah. Banyak syarikat dan organisasi mendapati sukar untuk membuat pilihan terbaik apabila memasang program penyulitan. Perkara ini menjadi lebih rumit oleh fakta bahawa tidak ada komputer yang benar-benar selamat dan sistem penyulitan yang benar-benar boleh dipercayai. Walau bagaimanapun, masih terdapat cara yang mencukupi untuk menolak hampir semua percubaan untuk mendedahkan maklumat yang disulitkan.
Apakah yang terdapat dalam program penyulitan?
Program penyulitan berbeza antara satu sama lain dalam algoritma penyulitan. Sebaik sahaja anda menyulitkan fail, anda boleh menulisnya ke cakera liut, menghantarnya melalui e-mel atau meletakkannya pada pelayan pada rangkaian tempatan anda. Penerima penyulitan anda mesti mempunyai program penyulitan yang sama untuk membaca kandungan fail.
Jika anda ingin menghantar mesej yang disulitkan kepada beberapa pengguna pada masa yang sama, maka maklumat anda untuk setiap penerima boleh disulitkan menggunakan kuncinya sendiri atau menggunakan kunci dikongsi untuk semua pengguna (termasuk pengarang mesej).
Sistem keselamatan kriptografi menggunakan kod rahsia untuk menukar maklumat anda menjadi rentetan aksara pseudo-rawak yang tidak bermakna. Dengan algoritma penyulitan yang baik, hampir mustahil untuk menyahsulit mesej tanpa mengetahui kod rahsia yang digunakan untuk penyulitan. Algoritma sedemikian dipanggil algoritma kunci simetri kerana kunci yang sama digunakan untuk menyulitkan dan menyahsulit maklumat.
Untuk melindungi data anda, program penyulitan mencipta kunci rahsia menggunakan kata laluan anda. Anda hanya perlu menetapkan kata laluan yang panjang yang tiada siapa boleh meneka. Walau bagaimanapun, jika anda mahu orang lain boleh membaca fail itu, anda perlu memberitahu orang itu kunci rahsia (atau kata laluan yang dibuat daripadanya). Anda boleh yakin bahawa walaupun algoritma penyulitan mudah akan melindungi data anda daripada pengguna biasa, katakan, daripada rakan sekerja. Walau bagaimanapun, profesional mempunyai beberapa cara untuk menyahsulit mesej tanpa mengetahui kod rahsia.
Tanpa pengetahuan khusus, anda tidak akan dapat menyemak sendiri sejauh mana kebolehpercayaan algoritma penyulitan anda. Tetapi anda boleh bergantung pada pendapat profesional. Beberapa algoritma penyulitan, seperti Triple DES (Data Encryption Standard), telah diuji selama bertahun-tahun. Berdasarkan keputusan ujian, algoritma ini telah membuktikan dirinya dengan baik, dan pakar kriptografi percaya bahawa ia boleh dipercayai. Kebanyakan algoritma baharu juga dikaji dengan teliti, dan hasilnya diterbitkan dalam literatur khusus.
Jika algoritma program tidak disemak dan dibincangkan secara terbuka oleh profesional, jika ia tidak mempunyai sijil dan kertas rasmi lain, ini adalah sebab untuk meragui kebolehpercayaannya dan enggan menggunakan program sedemikian.
Satu lagi jenis sistem penyulitan ialah sistem kunci awam. Untuk sistem sedemikian berfungsi, tidak perlu memberikan kunci rahsia kepada penerima (atau kata laluan berdasarkan ia dicipta). Sistem penyulitan ini menjana dua kunci digital untuk setiap pengguna: satu digunakan untuk menyulitkan data, satu lagi digunakan untuk menyahsulitnya. Kunci pertama (dipanggil kunci awam) boleh diterbitkan, tetapi kunci kedua boleh dirahsiakan. Selepas ini, sesiapa sahaja boleh menyulitkan maklumat menggunakan kunci awam, dan hanya mereka yang mempunyai kunci rahsia yang sepadan boleh menyahsulitnya.
Sesetengah program penyulitan mengandungi satu lagi ciri keselamatan penting - tandatangan digital. Tandatangan digital memperakui bahawa fail itu tidak diubah suai sejak ia ditandatangani dan memberikan maklumat penerima tentang siapa yang menandatangani fail tersebut. Algoritma untuk mencipta tandatangan digital adalah berdasarkan pengiraan jumlah semak - jumlah cincang yang dipanggil, atau ringkasan mesej. Algoritma yang digunakan memastikan bahawa adalah mustahil untuk mencari dua fail berbeza yang jumlah cincangnya akan sepadan.
Apabila penerima menerima fail yang ditandatangani secara digital, program penyulitannya mengira semula cincang untuk fail tersebut. Penerima kemudian menggunakan kunci awam yang diterbitkan oleh pengirim untuk membina semula tandatangan digital. Jika hasilnya sepadan dengan nilai yang dikira untuk fail, maka penerima boleh yakin bahawa teks mesej tidak diubah (jika ada, cincangan akan berbeza) dan tandatangan adalah milik seseorang yang mempunyai akses kepada kunci peribadi pengirim. .
Melindungi maklumat penting atau sulit memerlukan lebih daripada sekadar program penyulitan yang baik. Anda perlu mengambil beberapa langkah untuk memastikan keselamatan maklumat. Jika kata laluan anda lemah (pakar mengesyorkan menggunakan lapan atau lebih aksara) atau jika salinan maklumat sensitif yang tidak disulitkan disimpan pada komputer anda, maka sistem penyulitan terbaik pun tidak akan berkuasa.
Sistem "Leksikon-Verba"
Sistem Lexikon-Verba ialah satu cara untuk mengatur aliran dokumen elektronik yang selamat dalam rangkaian korporat dan antara organisasi yang berbeza. Lexikon-Verba menggunakan dua pengubahsuaian sistem kriptografi: sistem Verba-W bertujuan untuk agensi kerajaan (perlindungan maklumat sulit, khususnya papan serpai; kunci tandatangan adalah awam, kunci penyulitan adalah peribadi), sistem Verba-OW adalah untuk komersial organisasi (perlindungan rahsia perdagangan; tandatangan dan kunci penyulitan adalah awam).
Terdapat beberapa piawaian penyulitan global, tetapi hanya sebahagian kecil daripadanya mempunyai sijil daripada Agensi Persekutuan untuk Komunikasi dan Maklumat Kerajaan (FAGSI), yang menjadikannya mustahil untuk menggunakan penyelesaian yang tidak disahkan di Rusia. Sistem Verba-W mempunyai sijil FAPSI No. SF/114-0176. Sistem "Verba-OW" - sijil FAPSI No. SF/114-0174.
Lexikon-Verba menyediakan penyulitan dan tandatangan digital elektronik selaras dengan keperluan GOST 28147-89 “Sistem pemprosesan maklumat. Perlindungan kriptografi" dan GOST R34.10-94 "Teknologi maklumat. Perlindungan maklumat kriptografi. Prosedur untuk membangunkan dan mengesahkan tandatangan digital elektronik berdasarkan algoritma kriptografi asimetri."
Program ini diperakui oleh Suruhanjaya Teknikal Negeri di bawah Presiden Persekutuan Rusia. Ia dijangka menerima sijil daripada Kementerian Pertahanan Rusia pada bulan Julai.
Perlindungan kriptografi sistem adalah berdasarkan teknik penyulitan kunci awam. Setiap kunci yang mengenal pasti pengguna terdiri daripada dua bahagian: kunci awam dan kunci peribadi. Kunci awam boleh diedarkan secara bebas dan digunakan untuk menyulitkan maklumat pengguna tertentu. Untuk menyahsulit dokumen, pengguna yang menyulitkannya perlu mempunyai kunci awam anda dan, apabila menyulitkannya, menunjukkan anda mempunyai akses kepada dokumen tersebut.
Untuk menyahsulit dokumen, anda perlu menggunakan kunci peribadi. Kunci persendirian terdiri daripada dua bahagian, satu daripadanya disimpan pada kad pintar atau memori sentuh, dan satu lagi pada pemacu keras komputer anda. Oleh itu, kehilangan kad pintar atau akses tanpa kebenaran kepada komputer tidak memberikan, secara individu, keupayaan untuk menyahsulit dokumen.
Set kunci awal, yang merangkumi maklumat lengkap tentang kunci awam dan peribadi pengguna, dibuat di stesen kerja selamat yang dilengkapi khas. Cakera liut dengan maklumat utama hanya digunakan pada peringkat penyediaan stesen kerja pengguna.
Sistem Lexikon-Verba boleh digunakan dalam dua sistem utama untuk mengatur aliran dokumen yang selamat:
- sebagai penyelesaian bebas. Jika organisasi anda mempunyai rangkaian tempatan, sistem boleh dipasang bukan pada semua komputer, tetapi hanya pada mereka yang memerlukan kerja dengan dokumen sulit. Ini bermakna subrangkaian untuk pertukaran maklumat terperingkat timbul dalam rangkaian korporat. Pada masa yang sama, peserta dalam bahagian tertutup sistem boleh bertukar dokumen terbuka dengan pekerja lain;
- sebagai sebahagian daripada aliran dokumen. Lexikon-Verba mempunyai antara muka standard untuk menyambungkan fungsi luaran untuk melaksanakan operasi membuka, menyimpan, menutup dan menghantar dokumen, yang memudahkan untuk menyepadukan sistem ini ke dalam kedua-dua sistem pengurusan dokumen sedia ada dan yang baru dibangunkan.
Perlu diingatkan bahawa sifat-sifat sistem Lexicon-Verba menjadikannya bukan sahaja satu cara untuk menyediakan perlindungan maklumat daripada penembusan luar, tetapi juga satu cara untuk meningkatkan kerahsiaan korporat dalaman dan berkongsi akses.
Salah satu sumber tambahan yang penting untuk meningkatkan tahap kawalan keselamatan maklumat ialah keupayaan untuk mengekalkan "log peristiwa" untuk sebarang dokumen. Fungsi rakaman sejarah dokumen boleh didayakan atau dilumpuhkan hanya semasa pemasangan sistem; apabila didayakan, log ini akan dikekalkan tanpa mengira kehendak pengguna.
Kelebihan utama dan ciri tersendiri sistem ialah pelaksanaan fungsi keselamatan maklumat yang mudah dan intuitif sambil mengekalkan persekitaran kerja tradisional pengguna untuk pemproses perkataan.
Unit kriptografi melaksanakan penyulitan, serta pemasangan dan penyingkiran tandatangan digital elektronik (EDS) dokumen.
Fungsi tambahan blok termasuk memuatkan kunci rahsia, mengeksport dan mengimport kunci awam, menyediakan dan menyelenggara direktori kunci pelanggan sistem.
Oleh itu, setiap orang yang mempunyai akses kepada dokumen itu hanya boleh meletakkan tandatangannya sendiri, tetapi mengalih keluar mana-mana yang ditandatangani sebelum ini.
Ini mencerminkan prosedur yang diterima untuk kerja pejabat, apabila, apabila dokumen itu mengalami kelulusan, ia mungkin tertakluk kepada pembetulan pada peringkat yang berbeza, tetapi selepas itu dokumen itu mesti disahkan semula.
Apabila anda cuba membuat perubahan pada dokumen melalui cara selain Lexikon-Verba, tandatangan digital rosak, dan akibatnya, mesej "Rosak" akan muncul dalam medan "Status Tandatangan".
Pejabat
Apabila bilangan pengguna sistem bertambah, memasukkan setiap kunci awam ke setiap komputer menjadi sukar. Oleh itu, untuk mengatur kerja pejabat, pentadbiran terpusat bagi direktori kunci awam dianjurkan. Ini dilakukan seperti berikut:
1) "Lexicon-Verba" dipasang pada komputer pentadbir dalam mod tempatan. Ini mencipta direktori kunci awam, di mana pentadbir menambah setiap kunci yang digunakan di pejabat;
2) pada semua komputer lain sistem dipasang dalam mod rangkaian. Dalam mod ini, direktori kunci awam yang terletak pada komputer pentadbir digunakan;
3) setiap pengguna baharu yang ditambahkan oleh pentadbir ke direktori menjadi "kelihatan" kepada semua pengguna yang disambungkan ke direktori. Mulai saat ini, mereka dapat memindahkan dokumen yang disulitkan kepadanya.
Pentadbiran direktori menjadi terpusat, tetapi ini tidak menjejaskan tahap keselamatan sistem, kerana menyediakan akses kepada kunci awam adalah sejenis "pengenalan" kepada pengguna, tetapi ia tidak menyediakan akses kepada mana-mana dokumen. Untuk membolehkan pengguna menyahsulit dokumen, kunci awamnya bukan sahaja perlu berada dalam direktori, tetapi juga dinyatakan secara eksplisit sebagai mempunyai akses kepada dokumen tersebut.
Dari perspektif keselamatan maklumat, kunci kriptografi ialah data kritikal. Jika sebelum ini, untuk merompak syarikat, penyerang terpaksa memasuki wilayahnya, premis terbuka dan peti besi, kini sudah cukup untuk mencuri token dengan kunci kriptografi dan membuat pemindahan melalui sistem Internet Client-Bank. Asas memastikan keselamatan menggunakan sistem perlindungan maklumat kriptografi (CIPS) adalah mengekalkan kerahsiaan kunci kriptografi.
Bagaimanakah anda boleh memastikan kerahsiaan sesuatu yang anda tidak tahu wujud? Untuk meletakkan token dengan kunci ke dalam peti besi, anda perlu tahu tentang kewujudan token dan peti besi. Walaupun kedengarannya paradoks, sangat sedikit syarikat yang mempunyai idea tentang jumlah tepat dokumen penting yang mereka gunakan. Ini boleh berlaku atas beberapa sebab, contohnya, memandang rendah ancaman keselamatan maklumat, kekurangan proses perniagaan yang mantap, kelayakan kakitangan yang tidak mencukupi dalam hal keselamatan, dsb. Mereka biasanya mengingati tugas ini selepas kejadian, seperti ini.
Artikel ini akan menerangkan langkah pertama ke arah meningkatkan keselamatan maklumat menggunakan alat crypto, atau lebih tepat lagi, kami akan mempertimbangkan salah satu pendekatan untuk menjalankan audit CIPF dan kunci crypto. Penceritaan akan dijalankan bagi pihak pakar keselamatan maklumat, dan kami akan menganggap bahawa kerja itu dijalankan dari awal.
Terma dan Definisi
Pada permulaan artikel, untuk tidak menakutkan pembaca yang tidak bersedia dengan definisi yang kompleks, kami menggunakan istilah kunci kriptografi atau kunci kriptografi secara meluas; kini tiba masanya untuk menambah baik peralatan konsep kami dan mematuhi undang-undang semasa. Ini adalah langkah yang sangat penting, kerana ia akan membolehkan anda menstrukturkan maklumat yang diperolehi daripada keputusan audit dengan berkesan.
- Kunci kriptografi (cryptokey)- satu set data yang menyediakan pilihan satu transformasi kriptografi khusus daripada semua yang mungkin dalam sistem kriptografi tertentu (takrifan daripada "arahan merah jambu - Perintah FAPSI No. 152 pada 13 Jun 2001, selepas ini dirujuk sebagai FAPSI 152).
- Maklumat penting- satu set kunci kripto yang dianjurkan khas yang direka untuk menyediakan perlindungan maklumat kriptografi untuk tempoh masa tertentu [FAPSI 152].
Anda boleh memahami perbezaan asas antara kunci kripto dan maklumat utama menggunakan contoh berikut. Apabila mengatur HTTPS, pasangan kunci awam dan peribadi dijana, dan sijil diperoleh daripada kunci awam dan maklumat tambahan. Jadi, dalam skim ini, gabungan sijil dan kunci persendirian membentuk maklumat kunci, dan setiap satu daripadanya secara individu ialah kunci kripto. Di sini anda boleh dibimbing oleh peraturan mudah berikut - pengguna akhir menggunakan maklumat utama semasa bekerja dengan CIPF, dan kunci kripto biasanya menggunakan CIPF secara dalaman. Pada masa yang sama, adalah penting untuk memahami bahawa maklumat utama mungkin terdiri daripada satu kunci kripto. - Dokumen utama- dokumen elektronik pada mana-mana media, serta dokumen kertas yang mengandungi maklumat utama akses terhad untuk transformasi kriptografi maklumat menggunakan algoritma untuk transformasi kriptografi maklumat (kunci kriptografi) dalam cara penyulitan (kriptografi). (takrifan daripada Keputusan Kerajaan No. 313 bertarikh 16 April 2012, selepas ini dirujuk sebagai PP-313)
Secara ringkasnya, dokumen utama ialah maklumat penting yang direkodkan pada medium. Apabila menganalisis maklumat penting dan dokumen utama, perlu diserlahkan bahawa maklumat utama dieksploitasi (iaitu, digunakan untuk transformasi kriptografi - penyulitan, tandatangan elektronik, dll.), dan dokumen utama yang mengandunginya dipindahkan kepada pekerja. - Cara perlindungan maklumat kriptografi (CIPF)– cara penyulitan, cara perlindungan tiruan, cara tandatangan elektronik, cara pengekodan, cara untuk menghasilkan dokumen utama, dokumen utama, cara penyulitan perkakasan (kriptografi), cara penyulitan perisian dan perkakasan (kriptografi). [PP-313]
Apabila menganalisis definisi ini, anda boleh mendapati di dalamnya terdapat istilah dokumen utama. Istilah itu diberikan dalam Dekri Kerajaan dan kami tidak berhak mengubahnya. Pada masa yang sama, penerangan lanjut akan dijalankan berdasarkan CIPF hanya akan memasukkan cara untuk melaksanakan transformasi kriptografi). Pendekatan ini akan memudahkan audit, tetapi pada masa yang sama tidak akan menjejaskan kualitinya, kerana kami masih akan mengambil kira dokumen utama, tetapi dalam bahagian kami sendiri dan menggunakan kaedah kami sendiri.
Metodologi audit dan hasil yang dijangkakan
Ciri-ciri utama metodologi audit yang dicadangkan dalam artikel ini ialah postulat bahawa:
- tiada pekerja syarikat boleh menjawab dengan tepat soalan yang ditanya semasa audit;
- sumber data sedia ada (senarai, daftar, dsb.) tidak tepat atau kurang berstruktur.
Berikut adalah kebergantungan utama yang akan membantu kami dengan ini:
- Sekiranya terdapat CIPF, maka terdapat maklumat penting.
- Jika terdapat aliran dokumen elektronik (termasuk dengan rakan niaga dan pengawal selia), maka kemungkinan besar ia menggunakan tandatangan elektronik dan, akibatnya, CIPF dan maklumat penting.
- Pengurusan dokumen elektronik dalam konteks ini harus difahami secara meluas, iaitu, ia akan merangkumi kedua-dua pertukaran langsung dokumen elektronik penting dari segi undang-undang, dan penyerahan laporan, dan bekerja dalam sistem pembayaran atau perdagangan, dan sebagainya. Senarai dan bentuk pengurusan dokumen elektronik ditentukan oleh proses perniagaan syarikat, serta perundangan semasa.
- Sekiranya pekerja terlibat dalam pengurusan dokumen elektronik, kemungkinan besar dia mempunyai dokumen penting.
- Apabila menganjurkan pengurusan dokumen elektronik dengan rakan niaga, dokumen organisasi dan pentadbiran (pesanan) biasanya dikeluarkan pada pelantikan orang yang bertanggungjawab.
- Jika maklumat dihantar melalui Internet (atau rangkaian awam lain), kemungkinan besar ia disulitkan. Ini terutamanya terpakai kepada VPN dan pelbagai sistem akses jauh.
- Jika protokol dikesan dalam trafik rangkaian yang menghantar trafik dalam bentuk yang disulitkan, maka CIPF dan maklumat utama digunakan.
- Jika penyelesaian dibuat dengan rakan niaga yang terlibat dalam: pembekalan peralatan keselamatan maklumat, peranti telekomunikasi, penyediaan perkhidmatan untuk pemindahan maklumat, perkhidmatan pusat pensijilan, maka semasa interaksi ini CIPF atau dokumen utama boleh dibeli.
- Dokumen utama boleh sama ada pada media boleh alih (cakera liut, pemacu kilat, token, ...) atau dirakam di dalam komputer dan sistem perlindungan maklumat kriptografi perkakasan.
- Apabila menggunakan alat virtualisasi, dokumen utama boleh disimpan di dalam mesin maya dan dipasang pada mesin maya menggunakan hypervisor.
- Perkakasan CIPF boleh dipasang di bilik pelayan dan tidak tersedia untuk analisis melalui rangkaian.
- Sesetengah sistem pengurusan dokumen elektronik mungkin dalam bentuk tidak aktif atau tidak aktif, tetapi pada masa yang sama mengandungi maklumat kunci aktif dan CIPF.
- Dokumentasi kawal selia dan organisasi dalaman mungkin mengandungi maklumat tentang sistem pengurusan dokumen elektronik, CIPF dan dokumen utama.
- temuduga pekerja;
- menganalisis dokumentasi syarikat, termasuk dokumen kawal selia dan pentadbiran dalaman, serta pesanan pembayaran keluar;
- menjalankan analisis visual bilik pelayan dan kabinet komunikasi;
- menjalankan analisis teknikal kandungan stesen kerja automatik (AWS), pelayan dan alatan virtualisasi.
Senarai CIPF:
- model CIPF. Contohnya, CIPF Crypto CSP 3.9, atau OpenSSL 1.0.1
- pengecam contoh CIPF. Contohnya, nombor bersiri, lesen (atau pendaftaran mengikut PKZ-2005) CIPF
- Maklumat mengenai sijil FSB Rusia untuk perlindungan maklumat kriptografi, termasuk nombor dan tarikh mula dan tamat kesahan.
- Maklumat tentang tempat operasi CIPF. Contohnya, nama komputer di mana perisian CIPF dipasang, atau nama cara teknikal atau premis tempat CIPF perkakasan dipasang.
- Uruskan kelemahan dalam CIPF, iaitu, cepat mengesan dan membetulkannya.
- Pantau tempoh sah sijil untuk CIPF, dan juga semak sama ada CIPF yang diperakui digunakan mengikut peraturan yang ditetapkan oleh dokumentasi atau tidak.
- Rancang kos untuk CIPF, mengetahui berapa banyak yang sudah beroperasi dan berapa banyak dana disatukan masih tersedia.
- Menjana pelaporan peraturan.
Untuk setiap elemen senarai kami merekodkan data berikut:
- Nama atau pengecam maklumat penting. Contohnya, “Kunci tandatangan elektronik yang layak. Nombor siri sijil 31:2D:AF", dan pengecam harus dipilih dengan cara yang kunci boleh ditemui olehnya. Contohnya, apabila menghantar pemberitahuan, pihak berkuasa pensijilan biasanya mengenal pasti kunci melalui nombor sijil.
- Pusat kawalan sistem kunci (KSUC), yang mengeluarkan maklumat penting ini. Ini mungkin organisasi yang mengeluarkan kunci, contohnya, pihak berkuasa pensijilan.
- individu, yang atas namanya maklumat utama telah dikeluarkan. Maklumat ini boleh diekstrak daripada medan CN sijil X.509
- Format Maklumat Utama. Contohnya, CIPF CryptoPRO, CIPF Verba-OW, X.509, dsb. (atau dalam erti kata lain untuk kegunaan yang CIPF maklumat utama ini dimaksudkan).
- Menetapkan Maklumat Utama. Sebagai contoh, "Penyertaan dalam perdagangan di tapak Sberbank AST", "Tandatangan elektronik yang layak untuk pelaporan", dsb. Dari sudut pandangan teknikal, dalam medan ini anda boleh merekodkan sekatan yang direkodkan dalam medan penggunaan kunci lanjutan dan sijil X.509 yang lain.
- Mula dan tamat tempoh sah maklumat penting.
- Prosedur untuk mengeluarkan semula maklumat penting. Iaitu, pengetahuan tentang apa yang perlu dilakukan dan bagaimana apabila mengeluarkan semula maklumat penting. Sekurang-kurangnya, adalah dinasihatkan untuk merekodkan kenalan pegawai pusat kawalan pusat yang mengeluarkan maklumat penting.
- Senarai sistem maklumat, perkhidmatan atau proses perniagaan di mana maklumat utama digunakan. Contohnya, "Sistem perkhidmatan perbankan jauh Internet-Bank Pelanggan".
- Jejaki tarikh tamat tempoh maklumat penting.
- Keluarkan semula maklumat penting dengan cepat apabila perlu. Ini mungkin diperlukan untuk keluaran semula yang dirancang dan tidak berjadual.
- Sekat penggunaan maklumat penting apabila pekerja dibuang kerja untuknya maklumat itu dikeluarkan.
- Siasat insiden keselamatan maklumat dengan menjawab soalan: "Siapa yang mempunyai kunci untuk membuat pembayaran?" dan lain-lain.
Untuk setiap elemen senarai kami merekodkan data berikut:
- Maklumat penting terkandung dalam dokumen kunci.
- Pembawa maklumat utama, yang mana maklumat penting direkodkan.
- Muka, bertanggungjawab untuk keselamatan dokumen utama dan kerahsiaan maklumat penting yang terkandung di dalamnya.
- Keluarkan semula maklumat penting dalam kes: pemecatan pekerja yang memegang dokumen penting, serta dalam kes kompromi media.
- Pastikan kerahsiaan maklumat penting dengan menginventori media yang mengandunginya.
Pelan audit
Masanya telah tiba untuk mempertimbangkan ciri-ciri praktikal menjalankan audit. Mari kita lakukan ini menggunakan contoh institusi kewangan atau, dengan kata lain, menggunakan contoh bank. Contoh ini tidak dipilih secara kebetulan. Bank menggunakan sejumlah besar sistem perlindungan kriptografi yang berbeza, yang terlibat dalam sejumlah besar proses perniagaan, dan selain itu, hampir semua bank adalah Pemegang Lesen FSB Rusia untuk kriptografi. Selanjutnya dalam artikel itu, pelan audit untuk CIPF dan kunci kripto akan dibentangkan berkaitan dengan Bank. Pada masa yang sama, pelan ini boleh diambil sebagai asas semasa menjalankan audit ke atas hampir mana-mana syarikat. Untuk memudahkan persepsi, rancangan itu dibahagikan kepada beberapa peringkat, yang seterusnya runtuh menjadi spoiler.
Peringkat 1. Pengumpulan data daripada jabatan infrastruktur syarikat
| № | Tindakan | |
| Sumber – semua pekerja syarikat | ||
| 1 | Kami menghantar e-mel korporat kepada semua pekerja syarikat yang meminta mereka memaklumkan perkhidmatan keselamatan maklumat tentang semua kunci kriptografi yang mereka gunakan. | Kami menerima e-mel, yang berdasarkannya kami membuat senarai maklumat penting dan senarai dokumen penting |
| Sumber – Ketua Perkhidmatan Teknologi Maklumat | ||
| 1 | Kami meminta senarai maklumat penting dan dokumen penting | Dengan sedikit kebarangkalian, Perkhidmatan IT mengekalkan dokumen yang serupa; kami akan menggunakannya untuk menjana dan menjelaskan senarai maklumat penting, dokumen utama dan CIPF |
| 2 | Kami meminta senarai CIPF | |
| 3 | Kami meminta daftar perisian yang dipasang pada pelayan dan stesen kerja | Dalam pendaftaran ini kami sedang mencari perisian CIPF dan komponennya. Contohnya, CryptoPRO CSP, Verba-OW, Signal-COM CSP, Tandatangan, PGP, ruToken, eToken, KritoARM, dll. Berdasarkan data ini, kami membentuk senarai CIPF. |
| 4 | Kami meminta senarai pekerja (mungkin sokongan teknikal) yang membantu pengguna menggunakan CIPF dan mengeluarkan semula maklumat penting. | Kami meminta daripada individu ini maklumat yang sama seperti daripada pentadbir sistem |
| Sumber – pentadbir sistem Perkhidmatan Teknologi Maklumat | ||
| 1 | Kami meminta senarai gerbang kripto domestik (VIPNET, Benua, S-terra, dll.) | Dalam kes di mana syarikat tidak melaksanakan proses perniagaan biasa untuk IT dan pengurusan keselamatan maklumat, soalan sedemikian boleh membantu mengingatkan pentadbir sistem tentang kewujudan peranti atau perisian tertentu. Kami menggunakan maklumat ini untuk mendapatkan senarai CIPF. |
| 2 | Kami meminta senarai perisian domestik CIPF (CIPF MagPro CryptoPacket, VIPNET CSP, CryptonDisk, SecretDisk, ...) | |
| 3 | Kami meminta senarai penghala yang melaksanakan VPN untuk: a) komunikasi antara pejabat syarikat; b) interaksi dengan kontraktor dan rakan kongsi. |
|
| 4 | Kami meminta senarai perkhidmatan maklumat yang diterbitkan di Internet (boleh diakses dari Internet). Ini mungkin termasuk: a) e-mel korporat; b) sistem pesanan segera; c) laman web korporat; d) perkhidmatan untuk bertukar maklumat dengan rakan kongsi dan kontraktor (ekstranet); e) sistem perbankan jauh (jika syarikat itu adalah Bank); f) sistem capaian jauh ke rangkaian syarikat. Untuk menyemak kesempurnaan maklumat yang diberikan, kami membandingkannya dengan senarai peraturan Portforwarding bagi tembok api tepi. |
Menganalisis maklumat yang diterima, kemungkinan besar anda akan menghadapi penggunaan CIPF dan kunci kripto. Kami menggunakan data yang diperoleh untuk menjana senarai CIPF dan maklumat penting. |
| 5 | Kami meminta senarai sistem maklumat yang digunakan untuk pelaporan (Taxcom, Kontur, dsb.) | Sistem ini menggunakan kunci tandatangan elektronik yang layak dan CIPF. Melalui senarai ini, kami membuat senarai CIPF, senarai maklumat penting, dan juga mengetahui pekerja yang menggunakan sistem ini untuk membuat senarai dokumen utama. |
| 6 | Kami meminta senarai sistem pengurusan dokumen elektronik dalaman (Lotus, DIRECTUM, 1C: Pengurusan Dokumen, dll.), serta senarai penggunanya. | Kunci tandatangan elektronik boleh didapati dalam sistem pengurusan dokumen elektronik dalaman. Berdasarkan maklumat yang diterima, kami membuat senarai maklumat penting dan senarai dokumen penting. |
| 7 | Kami meminta senarai pusat pensijilan dalaman. | Cara yang digunakan untuk menganjurkan pusat pensijilan direkodkan dalam senarai CIPF. Pada masa hadapan, kami akan menganalisis kandungan pangkalan data pihak berkuasa pensijilan untuk mengenal pasti maklumat penting. |
| 8 | Kami meminta maklumat tentang penggunaan teknologi: IEEE 802.1x, WiFiWPA2 Enterprise dan sistem pengawasan video IP | Jika teknologi ini digunakan, kami mungkin menemui dokumen penting pada peranti yang terlibat. |
| Sumber – Ketua Sumber Manusia | ||
| 1 | Sila terangkan proses pengambilan dan pecat pekerja. Kami memberi tumpuan kepada persoalan siapa yang mengambil dokumen penting daripada meletakkan jawatan pekerja | Kami menganalisis dokumen (lembaran pintasan) untuk kehadiran sistem maklumat di dalamnya di mana CIPF boleh digunakan. |
Peringkat 2. Pengumpulan data daripada unit perniagaan syarikat (menggunakan contoh Bank)
| № | Tindakan | Hasil yang dijangkakan dan penggunaannya |
| Sumber – Ketua perkhidmatan penyelesaian (hubungan wartawan) | ||
| 1 | Sila sediakan skim untuk mengatur interaksi dengan sistem pembayaran Bank of Russia. Khususnya, ini akan relevan untuk Bank yang mempunyai rangkaian cawangan yang dibangunkan, di mana cawangan boleh menyambung terus ke sistem pembayaran Bank Pusat | Berdasarkan data yang diterima, kami menentukan lokasi gerbang pembayaran (AWC KBR, UTA) dan senarai pengguna yang terlibat. Kami menggunakan maklumat yang diterima untuk membuat senarai CIPF, maklumat penting dan dokumen penting. |
| 2 | Kami meminta senarai Bank yang mempunyai hubungan koresponden langsung, dan juga meminta untuk memberitahu kami siapa yang terlibat dalam membuat pemindahan dan cara teknikal yang digunakan. | |
| 3 | Kami meminta senarai sistem pembayaran yang mana Bank mengambil bahagian (SWIFT, VISA, MasterCard, NSPK, dll.), serta lokasi terminal komunikasi | Sama seperti sistem pembayaran Bank Rusia |
| Sumber – Ketua jabatan yang bertanggungjawab menyediakan perkhidmatan perbankan jarak jauh | ||
| 1 | Kami meminta senarai sistem perbankan jauh. | Dalam sistem ini, kami menganalisis penggunaan CIPF dan maklumat penting. Berdasarkan data yang diterima, kami membuat senarai CIPF dan maklumat penting serta dokumen penting. |
| Sumber – Ketua jabatan yang bertanggungjawab ke atas fungsi pemprosesan kad pembayaran | ||
| 1 | Meminta pendaftaran HSM | Berdasarkan maklumat yang diterima, kami mencipta senarai CIPF, maklumat penting dan dokumen penting. |
| 2 | Kami meminta daftar pegawai keselamatan | |
| 4 | Kami meminta maklumat tentang komponen LMK HSM | |
| 5 | Kami meminta maklumat tentang organisasi sistem seperti 3D-Secure dan organisasi pemperibadian kad pembayaran | |
| Sumber – Ketua jabatan yang menjalankan fungsi perbendaharaan dan depositori | ||
| 1 | Senarai bank yang telah menjalinkan hubungan wartawan dan yang mengambil bahagian dalam pemberian pinjaman antara bank. | Kami menggunakan maklumat yang diterima untuk menjelaskan data yang diterima sebelum ini daripada perkhidmatan penyelesaian, dan juga merekodkan maklumat tentang interaksi dengan bursa dan depositori. Berdasarkan maklumat yang diterima, kami membuat senarai CIPF dan maklumat penting. |
| 2 | Senarai bursa dan depositori khusus yang mana Bank bekerja | |
| Sumber – Ketua perkhidmatan pemantauan kewangan dan jabatan yang bertanggungjawab untuk menyerahkan laporan kepada Bank of Russia | ||
| 1 | Kami meminta maklumat tentang cara mereka menghantar maklumat dan menerima maklumat daripada Bank Pusat. Senarai orang dan peralatan teknikal yang terlibat. | Interaksi maklumat dengan Bank of Russia dikawal ketat oleh dokumen yang berkaitan, contohnya, 2332-U, 321-I dan banyak lagi, kami menyemak pematuhan dengan dokumen ini dan membuat senarai CIPF, maklumat penting dan dokumen utama. |
| Sumber – Ketua akauntan dan pekerja perakaunan yang terlibat dalam membayar bil untuk keperluan intrabank | ||
| 1 | Kami meminta maklumat tentang cara laporan disediakan dan diserahkan kepada pemeriksa cukai dan Bank of Russia | Kami menjelaskan maklumat yang diterima sebelum ini |
| 2 | Kami meminta daftar dokumen pembayaran untuk membayar keperluan dalam bank | Dalam daftar ini kami akan mencari dokumen di mana: 1) pusat pensijilan, pengendali telekom khusus, pengilang CIPF, dan pembekal peralatan telekomunikasi ditunjukkan sebagai penerima pembayaran. Nama-nama syarikat ini boleh didapati dari Daftar CIPF yang diperakui FSB Rusia, senarai pusat pensijilan terakreditasi Kementerian Telekom dan Komunikasi Massa dan sumber lain. 2) sebagai penyahsulitan pembayaran terdapat perkataan: "CIPF", "tandatangan", "token", "kunci", "BKI", dll. |
| Sumber – Ketua hutang tertunggak dan perkhidmatan pengurusan risiko | ||
| 1 | Kami meminta senarai biro sejarah kredit dan agensi kutipan yang Bank bekerja. | Bersama-sama dengan perkhidmatan IT, kami menganalisis data yang diterima untuk menjelaskan organisasi pengurusan dokumen elektronik, yang berdasarkannya kami menjelaskan senarai CIPF, maklumat penting dan dokumen utama. |
| Sumber – Ketua pengurusan dokumen, kawalan dalaman dan perkhidmatan audit dalaman | ||
| 1 | Kami meminta daftar dokumen organisasi dan pentadbiran dalaman (pesanan). | Dalam dokumen ini kami mencari dokumen yang berkaitan dengan CIPF. Untuk melakukan ini, kami menganalisis kehadiran kata kunci "keselamatan", "orang yang bertanggungjawab", "pentadbir", "tandatangan elektronik", "tandatangan digital", "tandatangan digital", "tandatangan digital", "tandatangan digital digital", “ASP”, “CIPF” dan terbitannya. Kemudian kami mengenal pasti senarai pekerja Bank yang direkodkan dalam dokumen ini. Kami mengadakan temu bual dengan pekerja tentang penggunaan mata wang kripto oleh mereka. Maklumat yang diterima ditunjukkan dalam senarai CIPF, maklumat penting dan dokumen penting. |
| 2 | Kami meminta senarai perjanjian dengan rakan niaga | Kami cuba mengenal pasti perjanjian mengenai pengurusan dokumen elektronik, serta perjanjian dengan syarikat yang menyediakan produk keselamatan maklumat atau menyediakan perkhidmatan dalam bidang ini, serta syarikat yang menyediakan perkhidmatan pusat pensijilan dan perkhidmatan pelaporan melalui Internet. |
| 3 | Kami menganalisis teknologi untuk menyimpan dokumen harian dalam bentuk elektronik | Apabila melaksanakan penyimpanan dokumen hari itu dalam bentuk elektronik, perlindungan maklumat kriptografi mesti digunakan |
Peringkat 3. Audit teknikal
| № | Tindakan | Hasil yang dijangkakan dan penggunaannya |
| 1 | Kami menjalankan inventori teknikal perisian yang dipasang pada komputer. Untuk melakukan ini kami menggunakan: · keupayaan analisis sistem perlindungan anti-virus korporat (contohnya, Kaspersky Anti-Virus boleh membina pendaftaran yang serupa). · Skrip WMI untuk komputer pengundian yang menjalankan OS Windows; · keupayaan pengurus pakej untuk sistem undian *nix; · perisian khusus untuk inventori. |
Antara perisian yang dipasang, kami sedang mencari perisian CIPF, pemacu untuk perkakasan CIPF dan media utama. Berdasarkan maklumat yang diterima, kami mengemas kini senarai CIPF. |
| 2 | Kami mencari dokumen utama pada pelayan dan stesen kerja. Untuk ini · Menggunakan skrip Logon, kami menanya stesen kerja dalam domain untuk kehadiran sijil dengan kunci peribadi dalam profil pengguna dan profil komputer. · Pada semua komputer, pelayan fail, hipervisor, kami mencari fail dengan sambungan: crt, cer, key, pfx, p12, pem, pse, jks, dsb. · Pada hipervisor sistem virtualisasi, kami mencari pemacu cakera yang dipasang dan imej cakera liut. |
Selalunya, dokumen utama dibentangkan dalam bentuk bekas kunci fail, serta bekas yang disimpan dalam pendaftaran komputer yang menjalankan OS Windows. Dokumen utama yang ditemui direkodkan dalam senarai dokumen utama, dan maklumat utama yang terkandung di dalamnya direkodkan dalam senarai maklumat utama. |
| 3 | Kami menganalisis kandungan pangkalan data pihak berkuasa pensijilan | Pangkalan data pihak berkuasa pensijilan biasanya mengandungi data tentang sijil yang dikeluarkan oleh pihak berkuasa ini. Kami memasukkan maklumat yang diterima ke dalam senarai maklumat utama dan senarai dokumen penting. |
| 4 | Kami menjalankan pemeriksaan visual bilik pelayan dan almari pendawaian, mencari CIPF dan media kunci perkakasan (token, pemacu cakera) | Dalam sesetengah kes, adalah mustahil untuk menjalankan inventori CIPF dan dokumen penting melalui rangkaian. Sistem mungkin terletak dalam segmen rangkaian terpencil atau tidak mempunyai sambungan rangkaian sama sekali. Untuk melakukan ini, kami menjalankan pemeriksaan visual, yang hasilnya harus menetapkan nama dan tujuan semua peralatan yang dibentangkan di bilik pelayan. Kami memasukkan maklumat yang diterima ke dalam senarai CIPF dan dokumen penting. |
| 5 | Kami menganalisis trafik rangkaian untuk mengenal pasti aliran maklumat menggunakan pertukaran yang disulitkan | Protokol yang disulitkan - HTTPS, SSH, dsb. akan membolehkan kami mengenal pasti nod rangkaian yang mana transformasi kriptografi dilakukan, dan akibatnya mengandungi CIPF dan dokumen utama. |
Kesimpulan
Dalam artikel ini, kami mengkaji teori dan amalan mengaudit CIPF dan kunci kripto. Seperti yang anda lihat, prosedur ini agak rumit dan memakan masa, tetapi jika anda mendekatinya dengan betul ia agak boleh dilaksanakan. Kami berharap artikel ini dapat membantu anda dalam kehidupan sebenar. Terima kasih atas perhatian anda, kami mengharapkan komen andaTag: Tambah tag
Dalam artikel ini anda akan mempelajari apa itu CIPF dan mengapa ia diperlukan. Takrifan ini merujuk kepada kriptografi - perlindungan dan penyimpanan data. Melindungi maklumat dalam bentuk elektronik boleh dilakukan dalam apa jua cara - walaupun dengan memutuskan sambungan komputer dari rangkaian dan memasang pengawal bersenjata dengan anjing berhampirannya. Tetapi lebih mudah untuk melakukan ini menggunakan alat perlindungan kriptografi. Mari kita fikirkan apa itu dan bagaimana ia dilaksanakan dalam amalan.
Matlamat Utama Kriptografi
Penyahkodan CIPF berbunyi seperti "sistem perlindungan maklumat kriptografi." Dalam kriptografi, saluran penghantaran maklumat boleh diakses sepenuhnya oleh penyerang. Tetapi semua data adalah sulit dan disulitkan dengan sangat baik. Oleh itu, walaupun saluran terbuka, penyerang tidak boleh mendapatkan maklumat.
CIPF moden bermaksud terdiri daripada perisian dan kompleks komputer. Dengan bantuannya, maklumat dilindungi mengikut parameter yang paling penting, yang akan kami pertimbangkan lebih lanjut.
Kerahsiaan
Adalah mustahil untuk membaca maklumat jika anda tidak mempunyai hak akses untuk berbuat demikian. Apakah CIPF dan bagaimana ia menyulitkan data? Komponen utama sistem ialah kunci elektronik. Ia adalah gabungan huruf dan nombor. Hanya dengan memasukkan kunci ini anda boleh pergi ke bahagian yang dikehendaki di mana perlindungan dipasang.
Integriti dan Pengesahan
Ini adalah parameter penting yang menentukan kemungkinan perubahan yang tidak dibenarkan pada data. Jika tiada kunci, maka anda tidak boleh mengedit atau memadam maklumat.
Pengesahan ialah prosedur untuk mengesahkan ketulenan maklumat yang direkodkan pada medium utama. Kunci mesti sepadan dengan mesin di mana maklumat dinyahsulit.
Kepengarangan
Ini adalah pengesahan tindakan pengguna dan kemustahilan untuk menolaknya. Jenis pengesahan yang paling biasa ialah EDS (tandatangan digital elektronik). Ia mengandungi dua algoritma - satu mencipta tandatangan, yang kedua mengesahkannya.
Sila ambil perhatian bahawa semua operasi yang dilakukan dengan tandatangan elektronik diproses oleh pusat yang diperakui (bebas). Atas sebab ini, adalah mustahil untuk mengarang palsu.
Algoritma penyulitan data asas
Hari ini, banyak sijil CIPF tersebar luas; kunci berbeza digunakan untuk penyulitan - simetri dan tidak simetri. Dan kuncinya cukup panjang untuk memberikan kerumitan kriptografi yang diperlukan.
Algoritma yang paling popular digunakan dalam perlindungan kriptografi:
- Kunci simetri - DES, AES, RC4, Rusia R-28147.89.
- Dengan fungsi cincang - contohnya, SHA-1/2, MD4/5/6, R-34.11.94.
- Kunci asimetri - RSA.
Banyak negara mempunyai piawaian mereka sendiri untuk algoritma penyulitan. Sebagai contoh, di Amerika Syarikat mereka menggunakan penyulitan AES yang diubah suai; panjang kunci boleh dari 128 hingga 256 bit.
Persekutuan Rusia mempunyai algoritma sendiri - R-34.10.2001 dan R-28147.89, yang menggunakan kunci 256-bit. Sila ambil perhatian bahawa terdapat unsur dalam sistem kriptografi negara yang dilarang daripada dieksport ke negara lain. Semua aktiviti yang berkaitan dengan pembangunan CIPF memerlukan pelesenan mandatori.
Perlindungan kripto perkakasan
Apabila memasang takograf CIPF, anda boleh memastikan perlindungan maksimum bagi maklumat yang disimpan dalam peranti. Semua ini dilaksanakan pada peringkat perisian dan perkakasan.
Jenis perkakasan CIPF ialah peranti yang mengandungi program khas yang menyediakan penyulitan data yang boleh dipercayai. Mereka juga membantu menyimpan maklumat, merekod dan menghantarnya.
Peranti penyulitan dibuat dalam bentuk pengekod yang disambungkan ke port USB. Terdapat juga peranti yang dipasang pada papan induk PC. Malah suis dan kad rangkaian khusus dengan perlindungan crypto boleh digunakan untuk berfungsi dengan data.
Jenis perkakasan CIPF dipasang agak cepat dan mampu bertukar maklumat pada kelajuan tinggi. Tetapi kelemahannya ialah kos yang agak tinggi, serta kemungkinan pemodenan yang terhad.
Perlindungan kriptografi perisian
Ini ialah satu set program yang membolehkan anda menyulitkan maklumat yang disimpan pada pelbagai media (pemacu denyar, pemacu keras dan optik, dsb.). Selain itu, jika anda mempunyai lesen untuk CIPF jenis ini, anda boleh menyulitkan data apabila menghantarnya melalui Internet (contohnya, melalui e-mel atau sembang).
Terdapat sejumlah besar program perlindungan, malah terdapat yang percuma - DiskCryptor adalah salah satu daripadanya. Jenis perisian CIPF juga merupakan rangkaian maya yang membenarkan pertukaran maklumat “melalui Internet”. Ini adalah rangkaian VPN yang diketahui ramai. Jenis perlindungan ini juga termasuk protokol HTTP, yang menyokong penyulitan SSL dan HTTPS.
Perisian CIPF kebanyakannya digunakan semasa bekerja di Internet, dan juga pada PC rumah. Dalam erti kata lain, secara eksklusif di kawasan yang tidak ada keperluan serius untuk ketahanan dan kefungsian sistem.
Jenis perisian dan perkakasan perlindungan kriptografi
Sekarang anda tahu apa itu CIPF, bagaimana ia berfungsi dan di mana ia digunakan. Ia juga perlu untuk menyerlahkan satu jenis - perkakasan dan perisian, yang menggabungkan semua sifat terbaik kedua-dua jenis sistem. Kaedah pemprosesan maklumat ini adalah yang paling boleh dipercayai dan selamat. Selain itu, pengguna boleh dikenal pasti dalam pelbagai cara - kedua-dua perkakasan (dengan memasang pemacu kilat atau cakera liut) dan standard (dengan memasukkan pasangan log masuk/kata laluan).
Sistem perkakasan dan perisian menyokong semua algoritma penyulitan yang wujud hari ini. Sila ambil perhatian bahawa pemasangan CIPF hanya boleh dilakukan oleh kakitangan yang berkelayakan pemaju kompleks. Adalah jelas bahawa CIPF sedemikian tidak boleh dipasang pada komputer yang tidak memproses maklumat sulit.
Kerahsiaan maklumat dicirikan oleh petunjuk yang kelihatan bertentangan seperti kebolehcapaian dan kerahsiaan. Kaedah untuk memastikan maklumat boleh diakses oleh pengguna dibincangkan dalam Bahagian 9.4.1. Dalam bahagian ini, kami akan mempertimbangkan cara untuk memastikan kerahsiaan maklumat. Sifat maklumat ini dicirikan oleh tahap penyembunyian maklumat dan mencerminkan keupayaannya untuk menahan pendedahan makna tatasusunan maklumat, menentukan struktur tatasusunan maklumat yang disimpan atau pembawa (isyarat pembawa) tatasusunan maklumat yang dihantar dan mewujudkan fakta penghantaran susunan maklumat melalui saluran komunikasi. Kriteria optimum dalam kes ini, sebagai peraturan, adalah:
meminimumkan kemungkinan mengatasi ("pecah") perlindungan;
memaksimumkan masa selamat yang dijangkakan sebelum subsistem keselamatan "digodam";
meminimumkan jumlah kerugian daripada "menggoda" perlindungan dan kos membangunkan dan mengendalikan elemen yang sepadan bagi kawalan maklumat dan subsistem perlindungan, dsb.
Secara umum, anda boleh memastikan kerahsiaan maklumat antara pelanggan dalam salah satu daripada tiga cara:
mewujudkan saluran komunikasi yang benar-benar boleh dipercayai antara pelanggan, tidak boleh diakses oleh orang lain;
gunakan saluran komunikasi awam, tetapi sembunyikan fakta penghantaran maklumat;
menggunakan saluran komunikasi awam, tetapi menghantar maklumat melaluinya dalam bentuk yang diubah, dan ia mesti diubah dengan cara yang hanya penerima boleh memulihkannya.
Pilihan pertama hampir mustahil untuk dilaksanakan kerana kos material yang tinggi untuk mencipta saluran sedemikian antara pelanggan jauh.
Salah satu cara untuk memastikan kerahsiaan pemindahan maklumat ialah steganografi. Pada masa ini, ia mewakili salah satu bidang yang menjanjikan untuk memastikan kerahsiaan maklumat yang disimpan atau dihantar dalam sistem komputer dengan menutup maklumat sulit dalam fail terbuka, terutamanya yang multimedia.
Terlibat dalam pembangunan kaedah untuk menukar (menyulitkan) maklumat untuk melindunginya daripada pengguna haram kriptografi.
Kriptografi (kadang-kadang istilah kriptologi digunakan) adalah bidang ilmu yang mengkaji penulisan rahsia (kriptografi) dan kaedah untuk pendedahannya (kriptanalisis). Kriptografi dianggap sebagai cabang matematik.
Sehingga baru-baru ini, semua penyelidikan dalam bidang ini hanya ditutup, tetapi dalam beberapa tahun kebelakangan ini semakin banyak penerbitan telah mula muncul di akhbar terbuka. Sebahagian daripada sebab untuk melembutkan kerahsiaan adalah bahawa ia telah menjadi mustahil untuk menyembunyikan jumlah maklumat terkumpul. Sebaliknya, kriptografi semakin digunakan dalam industri awam, yang memerlukan pendedahan.
9.6.1. Prinsip kriptografi. Matlamat sistem kriptografi adalah untuk menyulitkan teks biasa yang bermakna (juga dipanggil teks biasa) ke dalam teks sifir yang kelihatan tidak bermakna (teks sifir). Penerima yang ditujukan mesti dapat mentafsir (juga dipanggil "mentafsir") teks sifir ini, dengan itu memulihkan teks biasa yang sepadan. Dalam kes ini, musuh (juga dipanggil cryptanalyst) mesti tidak dapat mendedahkan teks asal. Terdapat perbezaan penting antara mentafsir (mentafsir) dan mendedahkan teks sifir.
Kaedah kriptografi dan kaedah menukar maklumat dipanggil sifir. Pendedahan sistem kripto (sifir) adalah hasil kerja cryptanalyst, yang membawa kepada kemungkinan mendedahkan secara berkesan mana-mana teks biasa yang disulitkan menggunakan sistem kripto yang diberikan. Tahap di mana sistem kripto tidak dapat dikesan dipanggil kekuatannya.
Isu kebolehpercayaan sistem keselamatan maklumat adalah sangat kompleks. Hakikatnya ialah tiada ujian yang boleh dipercayai untuk memastikan bahawa maklumat dilindungi dengan cukup andal. Pertama, kriptografi mempunyai keistimewaan bahawa "memecahkan" sifir selalunya memerlukan perbelanjaan beberapa pesanan magnitud lebih banyak daripada menciptanya. Akibatnya, ujian sistem perlindungan kriptografi tidak selalu dapat dilakukan. Kedua, percubaan yang tidak berjaya berulang kali untuk mengatasi pertahanan tidak bermakna percubaan seterusnya tidak akan berjaya. Ada kemungkinan bahawa profesional bergelut dengan sifir untuk masa yang lama, tetapi tidak berjaya, dan seorang pemula tertentu mengambil pendekatan yang tidak standard - dan sifir itu datang dengan mudah kepadanya.
Hasil daripada kebolehpercayaan alat keselamatan maklumat yang lemah, terdapat banyak produk di pasaran yang kebolehpercayaannya tidak dapat dinilai dengan pasti. Sememangnya, pemaju mereka memuji kerja mereka dalam setiap cara yang mungkin, tetapi tidak dapat membuktikan kualitinya, dan selalunya ini mustahil pada dasarnya. Sebagai peraturan, ketidakpastian kebolehpercayaan juga disertai oleh fakta bahawa algoritma penyulitan dirahsiakan.
Pada pandangan pertama, kerahsiaan algoritma berfungsi sebagai jaminan tambahan kebolehpercayaan sifir. Ini adalah hujah yang ditujukan kepada amatur. Malah, jika algoritma itu diketahui oleh pembangun, ia tidak lagi boleh dianggap rahsia, melainkan pengguna dan pembangun bukan orang yang sama. Di samping itu, jika, disebabkan ketidakcekapan atau kesilapan pembangun, algoritma ternyata tidak stabil, kerahsiaannya tidak akan membenarkan pakar bebas untuk mengesahkannya. Ketidakstabilan algoritma akan didedahkan hanya apabila ia telah digodam, atau bahkan tidak sama sekali, kerana musuh tidak tergesa-gesa untuk bermegah tentang kejayaannya.
Oleh itu, kriptografi mesti dipandu oleh peraturan yang pertama kali dirumuskan oleh orang Belanda O. Kerkhoffs: kekuatan sifir harus ditentukan hanya oleh kerahsiaan kunci. Dalam erti kata lain, peraturan O. Kerkhoffs ialah keseluruhan mekanisme penyulitan, kecuali nilai kunci rahsia, adalah priori yang dianggap diketahui oleh musuh.
Perkara lain ialah kaedah untuk melindungi maklumat adalah mungkin (secara tegasnya, tidak berkaitan dengan kriptografi), apabila ia bukan algoritma penyulitan yang disembunyikan, tetapi hakikat bahawa mesej itu mengandungi maklumat yang disulitkan (tersembunyi di dalamnya). Adalah lebih tepat untuk memanggil topeng maklumat teknik ini. Ia akan dipertimbangkan secara berasingan.
Sejarah kriptografi kembali beberapa ribu tahun. Keperluan untuk menyembunyikan apa yang ditulis muncul pada seseorang hampir sebaik sahaja dia belajar menulis. Contoh sejarah yang terkenal tentang sistem kripto ialah apa yang dipanggil sifir Caesar, yang hanya menggantikan setiap huruf plaintext dengan huruf ketiga abjad yang mengikutinya (dengan pembalut apabila perlu). Sebagai contoh, A telah digantikan oleh D,B pada E,Z pada C.
Walaupun kemajuan ketara dalam matematik selama berabad-abad sejak zaman Caesar, penulisan rahsia tidak membuat langkah ke hadapan yang ketara sehingga pertengahan abad ke-20. Ia mempunyai pendekatan amatur, spekulatif, tidak saintifik.
Sebagai contoh, pada abad ke-20, sifir "buku" digunakan secara meluas oleh para profesional, di mana beberapa penerbitan bercetak besar-besaran digunakan sebagai kunci. Tidak perlu dikatakan, betapa mudahnya sifir sedemikian didedahkan! Sudah tentu, dari sudut pandangan teori, sifir "buku" kelihatan agak boleh dipercayai, kerana mustahil untuk menyusun setnya secara manual. Walau bagaimanapun, sedikit pun maklumat a priori mengecilkan pilihan ini.
By the way, tentang maklumat a priori. Semasa Perang Patriotik Besar, seperti yang diketahui, Kesatuan Soviet memberi perhatian yang besar untuk menganjurkan gerakan partisan. Hampir setiap detasmen di belakang garis musuh mempunyai stesen radio, serta beberapa bentuk komunikasi dengan "tanah besar". Sifir yang dimiliki oleh partisan adalah sangat tidak stabil - pemecah kod Jerman menguraikannya dengan cepat. Dan ini, seperti yang kita ketahui, mengakibatkan kekalahan dan kerugian tentera. Pihak partisan ternyata licik dan inventif dalam bidang ini juga. Sambutan adalah sangat sederhana. Teks asal mesej itu mengandungi sejumlah besar kesalahan tatabahasa, sebagai contoh, mereka menulis: "tiga eselon berlalu dengan kereta kebal." Jika ditafsirkan dengan betul, semuanya jelas kepada orang Rusia. Tetapi cryptanalysts musuh tidak berkuasa terhadap teknik sedemikian: semasa melalui pilihan yang mungkin, mereka menemui gabungan "tnk", yang mustahil untuk bahasa Rusia, dan membuang pilihan ini sebagai jelas tidak betul.
Teknik yang kelihatan seperti buatan sendiri ini, sebenarnya, sangat berkesan dan sering digunakan walaupun sekarang. Urutan simbol rawak dimasukkan ke dalam teks asal mesej untuk mengelirukan program cryptanalytic yang berfungsi menggunakan kaedah brute force atau untuk menukar corak statistik ciphergram, yang juga boleh memberikan maklumat berguna kepada musuh. Tetapi secara umum, kita masih boleh mengatakan bahawa kriptografi sebelum perang adalah sangat lemah dan tidak boleh menuntut gelaran sains yang serius.
Walau bagaimanapun, keperluan ketenteraan yang ketat tidak lama kemudian memaksa saintis untuk menangani masalah kriptografi dan kriptanalisis. Salah satu pencapaian penting pertama dalam bidang ini ialah mesin taip Enigma Jerman, yang sebenarnya merupakan pengekod mekanikal dan penyahkod dengan rintangan yang agak tinggi.
Pada masa yang sama, semasa Perang Dunia Kedua, perkhidmatan penyahsulitan profesional pertama muncul. Yang paling terkenal ialah Bletchley Park, sebuah unit perkhidmatan perisikan British MI5.
9.6.2. Jenis-jenis sifir Semua kaedah penyulitan boleh dibahagikan kepada dua kumpulan: sifir kunci rahsia dan sifir kunci awam. Yang pertama dicirikan oleh kehadiran beberapa maklumat (kunci rahsia), yang memilikinya memungkinkan untuk menyulitkan dan menyahsulit mesej. Oleh itu, mereka juga dipanggil kunci tunggal. Sifir kunci awam memerlukan dua kunci untuk menyahsulit mesej. Sifir ini juga dipanggil sifir dua kunci.
Peraturan penyulitan tidak boleh sewenang-wenangnya. Ia mestilah sedemikian bahawa daripada teks sifir menggunakan peraturan penyahsulitan adalah mungkin untuk membina semula mesej terbuka dengan jelas. Peraturan penyulitan jenis yang sama boleh digabungkan ke dalam kelas. Dalam kelas, peraturan berbeza antara satu sama lain dengan nilai beberapa parameter, yang boleh menjadi nombor, jadual, dsb. Dalam kriptografi, nilai khusus parameter sedemikian biasanya dipanggil kunci.
Pada asasnya, kunci memilih peraturan penyulitan tertentu daripada kelas peraturan tertentu. Ini membolehkan, pertama, apabila menggunakan peranti khas untuk penyulitan, menukar nilai parameter peranti supaya mesej yang disulitkan tidak boleh dinyahsulit walaupun oleh orang yang mempunyai peranti yang sama, tetapi tidak mengetahui nilai parameter yang dipilih, dan kedua, ia membolehkan anda menukar peraturan penyulitan tepat pada masanya, kerana penggunaan berulang peraturan penyulitan yang sama untuk teks biasa mewujudkan prasyarat untuk mendapatkan mesej teks biasa daripada yang disulitkan.
Menggunakan konsep kunci, proses penyulitan boleh digambarkan sebagai hubungan:
di mana A– mesej terbuka; B– mesej yang disulitkan; f– peraturan penyulitan; α – kunci yang dipilih, diketahui oleh pengirim dan penerima.
Untuk setiap kunci α
penukaran sifir 
mesti boleh terbalik iaitu mesti ada penjelmaan songsang 
, yang dengan kunci yang dipilih α
secara unik mengenal pasti mesej terbuka A melalui mesej yang disulitkan B:
(9.0)
Set transformasi 
dan set kunci yang sepadan dengannya dipanggil kod. Di antara semua sifir, dua kelas besar boleh dibezakan: sifir penggantian dan sifir pilih atur. Pada masa ini, peranti penyulitan elektronik digunakan secara meluas untuk melindungi maklumat dalam sistem automatik. Ciri penting peranti sedemikian bukan sahaja kekuatan sifir yang dilaksanakan, tetapi juga kelajuan tinggi proses penyulitan dan penyahsulitan.
Kadang-kadang dua konsep keliru: penyulitan Dan pengekodan. Tidak seperti penyulitan, yang mana anda perlu mengetahui sifir dan kunci rahsia, dengan pengekodan tidak ada rahsia, hanya terdapat penggantian huruf atau perkataan tertentu dengan simbol yang telah ditetapkan. Kaedah pengekodan tidak bertujuan untuk menyembunyikan mesej terbuka, tetapi untuk menyampaikannya dalam bentuk yang lebih mudah untuk penghantaran melalui cara komunikasi teknikal, untuk mengurangkan panjang mesej, untuk melindungi herotan, dsb.
Sifir kunci rahsia. Sifir jenis ini membayangkan kehadiran beberapa maklumat (kunci), yang memilikinya membolehkan anda menyulitkan dan menyahsulit mesej.
Di satu pihak, skim sedemikian mempunyai kelemahan yang, sebagai tambahan kepada saluran terbuka untuk menghantar ciphergram, mesti ada saluran rahsia untuk menghantar kunci; di samping itu, jika maklumat mengenai kunci itu bocor, adalah mustahil. untuk membuktikan kebocoran berlaku daripada dua wartawan itu.
Sebaliknya, antara sifir kumpulan tertentu ini terdapat satu-satunya skim penyulitan di dunia yang mempunyai kekuatan teori mutlak. Semua yang lain boleh dihuraikan sekurang-kurangnya pada dasarnya. Skim sedemikian ialah penyulitan biasa (contohnya, operasi XOR) dengan kunci yang panjangnya sama dengan panjang mesej. Dalam kes ini, kunci hanya boleh digunakan sekali. Sebarang percubaan untuk menguraikan mesej sedemikian adalah sia-sia, walaupun terdapat maklumat apriori tentang teks mesej itu. Dengan memilih kunci, anda boleh mendapatkan sebarang mesej sebagai hasilnya.
Sifir kunci awam. Sifir jenis ini membayangkan kehadiran dua kunci - awam dan peribadi; satu digunakan untuk penyulitan, satu lagi untuk menyahsulit mesej. Kunci awam diterbitkan - dibawa kepada perhatian semua orang, manakala kunci rahsia disimpan oleh pemiliknya dan merupakan kunci kepada kerahsiaan mesej. Intipati kaedah itu ialah apa yang disulitkan menggunakan kunci rahsia hanya boleh dinyahsulit menggunakan kunci awam dan sebaliknya. Kekunci ini dijana secara berpasangan dan mempunyai surat-menyurat satu dengan satu antara satu sama lain. Lebih-lebih lagi, adalah mustahil untuk mengira yang lain dari satu kunci.
Ciri ciri sifir jenis ini, yang membezakannya dengan baik daripada sifir dengan kunci rahsia, ialah kunci rahsia di sini hanya diketahui oleh satu orang, manakala dalam skema pertama ia mesti diketahui sekurang-kurangnya dua. Ini memberikan kelebihan berikut:
tiada saluran selamat diperlukan untuk menghantar kunci rahsia;
semua komunikasi dijalankan melalui saluran terbuka;
Mempunyai satu salinan kunci mengurangkan kemungkinan kehilangannya dan membolehkan anda mewujudkan tanggungjawab peribadi yang jelas untuk mengekalkan rahsia;
kehadiran dua kunci membolehkan anda menggunakan sistem penyulitan ini dalam dua mod - komunikasi rahsia dan tandatangan digital.
Contoh paling mudah bagi algoritma penyulitan yang sedang dipertimbangkan ialah algoritma RSA. Semua algoritma lain kelas ini pada asasnya tidak berbeza daripadanya. Boleh dikatakan bahawa, pada umumnya, RSA adalah satu-satunya algoritma kunci awam.
9.6.3. Algoritma RSA. RSA (dinamakan sempena pengarangnya, Rivest, Shamir, dan Alderman) ialah algoritma kunci awam yang direka untuk kedua-dua penyulitan dan pengesahan (tandatangan digital). Algoritma ini dibangunkan pada tahun 1977 dan berdasarkan penguraian integer besar kepada faktor mudah (pemfaktoran).
RSA adalah algoritma yang sangat perlahan. Sebagai perbandingan, pada peringkat perisian, DES sekurang-kurangnya 100 kali lebih pantas daripada RSA; pada perkakasan – 1,000-10,000 kali, bergantung pada pelaksanaan.
Algoritma RSA adalah seperti berikut. Ambil dua nombor perdana yang sangat besar hlm Dan q. Bertekad n akibat daripada pendaraban hlm pada q(n=hlm q). Integer rawak yang besar dipilih d, bersamaan dengan m, Di mana 
. Nombor ini ditentukan e, Apa 
. Mari kita panggil ia kunci awam e Dan n, dan kunci rahsia ialah nombor d Dan n.
Sekarang, untuk menyulitkan data menggunakan kunci yang diketahui ( e,n), anda perlu melakukan perkara berikut:
bahagikan teks sifir kepada blok, setiap satunya boleh diwakili sebagai nombor M(i)=0,1,…,n-1;
menyulitkan teks yang dianggap sebagai urutan nombor M(i) mengikut formula C(i)=(M(i)) mod n;
untuk menyahsulit data ini menggunakan kunci rahsia ( d,n), anda perlu melakukan pengiraan berikut M(i)=(C(i)) mod n.
Hasilnya akan menjadi banyak nombor M(i), yang mewakili teks sumber.
Contoh. Mari pertimbangkan menggunakan kaedah RSA untuk menyulitkan mesej: "Komputer". Untuk kesederhanaan, kami akan menggunakan nombor yang sangat kecil (dalam amalan, nombor yang lebih besar digunakan - dari 200 dan ke atas).
Jom pilih hlm=3 dan q=11. Mari kita tentukan n=3×11=33.
Mari cari ( hlm-1)×( q-1)=20. Oleh itu, sebagai d pilih mana-mana nombor yang bersamaan dengan 20, sebagai contoh d=3.
Jom pilih nombor e. Nombor sedemikian boleh menjadi sebarang nombor yang hubungannya ( e×3) mod 20=1, contohnya, 7.
Mari bayangkan mesej yang disulitkan sebagai jujukan integer dalam julat 1...32. Biarkan huruf "E" diwakili oleh nombor 30, huruf "B" dengan nombor 3, dan huruf "M" dengan nombor 13. Kemudian mesej asal boleh diwakili sebagai urutan nombor (30 03 13 ).
Mari kita menyulitkan mesej menggunakan kunci (7.33).
С1=(307) mod 33=21870000000 mod 33=24,
С2=(37) mod 33=2187 mod 33=9,
C3=(137) mod 33=62748517 mod 33=7.
Oleh itu, mesej yang disulitkan kelihatan seperti (24 09 07).
Jom selesaikan masalah songsang. Mari kita menyahsulit mesej (24 09 07), yang diperoleh hasil daripada penyulitan menggunakan kunci yang diketahui, berdasarkan kunci rahsia (3.33):
M1=(24 3) mod 33=13824 mod 33=30,
M2=(9 3) mod 33=739 mod 33=9,
M3=(7 3)mod33=343mod33=13 .
Oleh itu, sebagai hasil daripada menyahsulit mesej, mesej asal "komputer" telah diterima.
Kekuatan kriptografi algoritma RSA adalah berdasarkan andaian bahawa sangat sukar untuk menentukan kunci rahsia daripada yang diketahui, kerana ini memerlukan penyelesaian masalah kewujudan pembahagi integer. Masalah ini adalah NP-lengkap dan, sebagai akibat daripada fakta ini, pada masa ini tidak membenarkan penyelesaian (polinomial) yang berkesan. Selain itu, persoalan tentang kewujudan algoritma yang cekap untuk menyelesaikan masalah NP-lengkap masih terbuka. Dalam hal ini, untuk nombor yang terdiri daripada 200 digit (dan ini adalah nombor yang disyorkan untuk digunakan), kaedah tradisional memerlukan melakukan sejumlah besar operasi (kira-kira 1023).
Algoritma RSA (Rajah 9.2) dipatenkan di AS. Penggunaannya oleh orang lain tidak dibenarkan (dengan panjang kunci melebihi 56 bit). Benar, keadilan pertubuhan sedemikian boleh dipersoalkan: bagaimanakah eksponensi biasa boleh dipatenkan? Walau bagaimanapun, RSA dilindungi oleh undang-undang hak cipta.
nasi. 9.2. Skim penyulitan
Mesej yang disulitkan menggunakan kunci awam pelanggan hanya boleh dinyahsulit olehnya, kerana hanya dia yang mempunyai kunci rahsia. Jadi, untuk menghantar mesej peribadi, anda mesti mengambil kunci awam penerima dan menyulitkan mesej dengannya. Selepas ini, anda sendiri tidak akan dapat menghuraikannya.
9.6.4. Tandatangan elektronik. Apabila kita melakukan sebaliknya, iaitu, kita menyulitkan mesej menggunakan kunci rahsia, maka sesiapa sahaja boleh menyahsulitnya (dengan mengambil kunci awam anda). Tetapi hakikat bahawa mesej itu disulitkan dengan kunci rahsia anda berfungsi sebagai pengesahan bahawa ia datang daripada anda, satu-satunya pemegang kunci rahsia di dunia. Mod penggunaan algoritma ini dipanggil tandatangan digital.
Dari sudut pandangan teknologi, tandatangan digital elektronik ialah alat kriptografi perisian (iaitu, disulitkan dengan sewajarnya) yang membolehkan anda mengesahkan bahawa tandatangan pada dokumen elektronik tertentu diletakkan oleh pengarangnya dan bukan oleh mana-mana orang lain. Tandatangan digital elektronik ialah satu set aksara yang dijana mengikut algoritma yang ditakrifkan oleh GOST R 34.0-94 dan GOST R 34.-94. Pada masa yang sama, tandatangan digital elektronik membolehkan anda mengesahkan bahawa maklumat yang ditandatangani menggunakan kaedah tandatangan digital elektronik tidak diubah semasa proses pemindahan dan telah ditandatangani oleh pengirim tepat dalam borang yang anda terima.
Proses menandatangani dokumen secara elektronik (Rajah 9.3) agak mudah: susunan maklumat yang perlu ditandatangani diproses oleh perisian khas menggunakan kunci persendirian yang dipanggil. Seterusnya, tatasusunan yang disulitkan dihantar melalui e-mel dan, setelah diterima, disahkan dengan kunci awam yang sepadan. Kunci awam membolehkan anda menyemak integriti tatasusunan dan mengesahkan ketulenan tandatangan digital elektronik pengirim. Adalah dipercayai bahawa teknologi ini mempunyai perlindungan 100% terhadap penggodaman.
nasi. 9.3. Skim proses menandatangani dokumen elektronik
Setiap subjek yang mempunyai hak untuk menandatangani mempunyai kunci rahsia (kod) dan boleh disimpan pada cakera liut atau kad pintar. Kunci awam digunakan oleh penerima dokumen untuk mengesahkan ketulenan tandatangan digital elektronik. Menggunakan tandatangan digital elektronik, anda boleh menandatangani fail individu atau serpihan pangkalan data.
Dalam kes kedua, perisian yang melaksanakan tandatangan digital elektronik mesti disepadukan ke dalam sistem automatik yang digunakan.
Mengikut undang-undang baharu, prosedur untuk pensijilan alat tandatangan digital elektronik dan pensijilan tandatangan itu sendiri dikawal dengan jelas.
Ini bermakna badan kerajaan yang berkenaan mesti mengesahkan bahawa perisian tertentu untuk menjana tandatangan digital elektronik sebenarnya menjana (atau mengesahkan) hanya tandatangan digital elektronik dan tidak ada yang lain; bahawa program yang sepadan tidak mengandungi virus, tidak memuat turun maklumat daripada kontraktor, tidak mengandungi "pepijat" dan dijamin terhadap penggodaman. Pensijilan tandatangan itu sendiri bermakna organisasi yang berkaitan - pihak berkuasa pensijilan - mengesahkan bahawa kunci ini adalah milik orang tertentu ini.
Anda boleh menandatangani dokumen tanpa sijil yang ditentukan, tetapi sekiranya berlaku litigasi, sukar untuk membuktikan apa-apa. Dalam kes ini, sijil tidak boleh diganti, kerana tandatangan itu sendiri tidak mengandungi data mengenai pemiliknya.
Sebagai contoh, seorang warganegara A dan warganegara DALAM menandatangani perjanjian untuk jumlah 10,000 rubel dan memperakui perjanjian itu dengan tandatangan digital mereka. Warganegara A tidak menunaikan kewajipannya. Warganegara yang tersinggung DALAM, terbiasa bertindak dalam rangka kerja undang-undang, pergi ke mahkamah, di mana kesahihan tandatangan disahkan (surat-menyurat kunci awam kepada yang peribadi). Namun, warganegara A menyatakan bahawa kunci persendirian bukan miliknya sama sekali. Apabila preseden sedemikian timbul, pemeriksaan grafologi dijalankan dengan tandatangan biasa, tetapi dalam kes tandatangan digital elektronik, pihak ketiga atau dokumen diperlukan untuk mengesahkan bahawa tandatangan itu benar-benar milik orang ini. Inilah gunanya sijil kunci awam.
Hari ini, salah satu alat perisian paling popular yang melaksanakan fungsi asas tandatangan digital elektronik ialah sistem Verba dan CryptoPRO CSP.
9.6.5. Fungsi HASH. Seperti yang ditunjukkan di atas, sifir kunci awam boleh digunakan dalam dua mod: penyulitan dan tandatangan digital. Dalam kes kedua, tidak masuk akal untuk menyulitkan keseluruhan teks (data) menggunakan kunci rahsia. Teks dibiarkan jelas, dan "checksum" tertentu teks ini disulitkan, menghasilkan blok data yang merupakan tandatangan digital yang ditambahkan pada penghujung teks atau dilampirkan padanya dalam fail berasingan.
"checksum" data yang disebut, yang "ditandatangani" dan bukannya keseluruhan teks, mesti dikira daripada keseluruhan teks supaya perubahan dalam mana-mana huruf dapat dilihat padanya. Kedua, fungsi yang ditentukan mestilah sehala, iaitu, boleh dikira hanya "dalam satu arah." Ini adalah perlu supaya musuh tidak boleh sengaja menukar teks agar sesuai dengan tandatangan digital sedia ada.
Fungsi ini dipanggil Fungsi hash, yang, seperti algoritma kriptografi, tertakluk pada penyeragaman dan pensijilan. Di negara kita ia dikawal oleh GOST R-3411. Fungsi hash– fungsi yang melakukan pencincangan tatasusunan data dengan memetakan nilai daripada set nilai (sangat) besar kepada set nilai yang lebih kecil (dengan ketara). Selain tandatangan digital, fungsi cincang juga digunakan dalam aplikasi lain. Contohnya, apabila bertukar-tukar mesej antara komputer jauh yang memerlukan pengesahan pengguna, kaedah berdasarkan fungsi cincang boleh digunakan.
biarlah Kod cincang dicipta oleh fungsi N:
,
di mana M ialah mesej panjang sewenang-wenangnya dan h ialah kod cincang panjang tetap.
Mari lihat keperluan yang mesti dipenuhi oleh fungsi cincang untuk digunakan sebagai pengesah mesej. Mari kita lihat contoh yang sangat mudah bagi fungsi cincang. Kemudian kami akan menganalisis beberapa pendekatan untuk membina fungsi cincang.
Fungsi hash N, yang digunakan untuk pengesahan mesej, mesti mempunyai sifat berikut:
N(M) hendaklah digunakan pada blok data dengan sebarang panjang;
N(M) mencipta output dengan panjang tetap;
N(M) adalah agak mudah (dalam masa polinomial) untuk mengira sebarang nilai M;
untuk sebarang nilai kod cincang yang diberikan h mustahil untuk ditemui M seperti itu N(M) =h;
untuk apa-apa yang diberikan X pengiraan mustahil untuk dicari y≠x, Apa H(y) =H(x);
Secara pengiraan mustahil untuk mencari pasangan sewenang-wenang ( X,y) seperti itu H(y) =H(x).
Tiga sifat pertama memerlukan fungsi cincang untuk menghasilkan kod cincang untuk sebarang mesej.
Sifat keempat mentakrifkan keperluan bahawa fungsi cincang adalah berat sebelah: adalah mudah untuk mencipta kod cincang daripada mesej yang diberikan, tetapi adalah mustahil untuk membina semula mesej daripada kod cincang yang diberikan. Sifat ini penting jika pengesahan cincang melibatkan nilai rahsia. Nilai rahsia itu sendiri mungkin tidak dihantar, namun, jika fungsi cincang bukan sehala, musuh boleh mendedahkan nilai rahsia dengan mudah seperti berikut.
Sifat kelima memastikan bahawa adalah mustahil untuk mencari mesej lain yang nilai cincangnya sepadan dengan nilai cincang mesej ini. Ini menghalang pemalsuan pengesah apabila menggunakan kod cincang yang disulitkan. Dalam kes ini, lawan boleh membaca mesej dan oleh itu mencipta kod cincangnya. Tetapi kerana musuh tidak mempunyai kunci rahsia, dia tidak mempunyai cara untuk menukar mesej tanpa penerima mengesannya. Jika sifat ini tidak berpuas hati, penyerang mempunyai peluang untuk melakukan urutan tindakan berikut: memintas mesej dan kod cincang yang disulitkan, kira kod cincang mesej, buat mesej alternatif dengan kod cincang yang sama, gantikan yang asal mesej dengan yang palsu. Memandangkan cincangan mesej ini adalah sama, penerima tidak akan mengesan penipuan itu.
Fungsi cincang yang memenuhi lima sifat pertama dipanggil ringkas atau lemah fungsi hash. Jika, sebagai tambahan, harta keenam dipenuhi, maka fungsi sedemikian dipanggil kuat fungsi hash. Harta keenam melindungi daripada kelas serangan yang dikenali sebagai serangan hari lahir.
Semua fungsi cincang dilakukan seperti berikut. Nilai input (mesej, fail, dll.) dianggap sebagai urutan n-blok bit. Nilai input diproses secara berurutan blok demi blok, dan a m- nilai bit kod cincang.
Salah satu contoh paling mudah bagi fungsi cincang ialah XOR bitwise setiap blok:
DENGAN i = b i 1 XOR b i2 XOR. . . XOR b ik ,
di mana DENGAN i – i ke sedikit kod cincang, i = 1, …, n;
k- nombor n-blok input bit;
b ij –i masuk ke j blok ke.
Hasilnya ialah kod cincang panjang n, dikenali sebagai kawalan lebihan membujur. Ini berkesan untuk kegagalan sekali-sekala untuk mengesahkan integriti data.
9.6.6. DES DAN GOST-28147. DES (Data Encryption Standard) ialah algoritma dengan kekunci simetri, i.e. satu kunci digunakan untuk kedua-dua penyulitan dan penyahsulitan mesej. Dibangunkan oleh IBM dan diluluskan oleh kerajaan AS pada tahun 1977 sebagai standard rasmi untuk melindungi maklumat yang bukan rahsia negara.
DES mempunyai blok 64-bit, berdasarkan pilih atur 16 kali ganda data dan menggunakan kunci 56-bit untuk penyulitan. Terdapat beberapa mod DES, seperti Buku Kod Elektronik (ECB) dan Cipher Block Chaining (CBC). 56 bit ialah 8 aksara ASCII tujuh bit, i.e. Kata laluan tidak boleh lebih daripada 8 huruf. Jika, sebagai tambahan, anda hanya menggunakan huruf dan nombor, maka bilangan pilihan yang mungkin akan menjadi kurang ketara daripada maksimum yang mungkin 256.
Salah satu langkah algoritma DES. Blok data input dibahagikan kepada separuh di sebelah kiri ( L") dan kanan ( R") bahagian. Selepas ini, tatasusunan keluaran dibentuk supaya bahagian kirinya L"" diwakili oleh sebelah kanan R" input, dan kanan R"" dibentuk sebagai jumlah L" Dan R" operasi XOR. Seterusnya, tatasusunan output disulitkan dengan pilih atur dengan penggantian. Anda boleh memastikan bahawa semua operasi yang dilakukan boleh diterbalikkan dan penyahsulitan dijalankan dalam beberapa operasi yang bergantung secara linear pada saiz blok. Algoritma ditunjukkan secara skematik dalam Rajah. 9.4.
nasi. 9.4. Gambarajah Algoritma DES
Selepas beberapa transformasi sedemikian, kita boleh menganggap bahawa setiap bit blok penyulitan output boleh bergantung pada setiap bit mesej.
Di Rusia terdapat analog algoritma DES, yang berfungsi pada prinsip kunci rahsia yang sama. GOST 28147 dibangunkan 12 tahun kemudian daripada DES dan mempunyai tahap perlindungan yang lebih tinggi. Ciri-ciri perbandingan mereka dibentangkan dalam jadual. 9.3.
Jadual 9.3
9.6.7. Steganografi. Steganografi- Ini adalah kaedah mengatur komunikasi yang sebenarnya menyembunyikan kehadiran komunikasi. Tidak seperti kriptografi, di mana musuh boleh menentukan dengan tepat sama ada mesej yang dihantar adalah teks yang disulitkan, teknik steganografi membenarkan mesej rahsia dibenamkan dalam mesej yang tidak berbahaya sehingga mustahil untuk mengesyaki kewujudan mesej rahsia terbenam.
Perkataan "steganografi" diterjemahkan dari bahasa Yunani secara literal bermaksud "tulisan rahsia" (steganos - rahsia, rahsia; grafik - rekod). Ini termasuk pelbagai jenis cara komunikasi rahsia, seperti dakwat tidak kelihatan, mikrofotograf, susunan tanda konvensional, saluran rahsia dan cara komunikasi pada frekuensi terapung, dsb.
Steganografi menduduki nichenya dalam keselamatan: ia tidak menggantikan, tetapi melengkapkan kriptografi. Menyembunyikan mesej menggunakan kaedah steganografi dengan ketara mengurangkan kemungkinan mengesan fakta penghantaran mesej. Dan jika mesej ini juga disulitkan, maka ia mempunyai satu lagi tahap perlindungan tambahan.
Pada masa ini, disebabkan perkembangan pesat teknologi komputer dan saluran baru untuk menghantar maklumat, kaedah steganografi baru telah muncul, yang berdasarkan keanehan penyampaian maklumat dalam fail komputer, rangkaian komputer, dll. Ini memberi kita peluang untuk bercakap tentang pembentukan hala tuju baharu - steganografi komputer .
Walaupun fakta bahawa steganografi sebagai kaedah menyembunyikan data rahsia telah diketahui selama beribu-ribu tahun, steganografi komputer adalah kawasan yang masih muda dan sedang membangun.
Sistem steganografi atau sistem stego– satu set cara dan kaedah yang digunakan untuk membentuk saluran rahsia untuk menghantar maklumat.
Apabila membina sistem stego, peruntukan berikut mesti diambil kira:
Pihak lawan mempunyai pemahaman yang lengkap tentang sistem steganografi dan perincian pelaksanaannya. Satu-satunya maklumat yang masih tidak diketahui oleh musuh yang berpotensi adalah kuncinya, dengan bantuan yang hanya pemegangnya boleh menetapkan kehadiran dan kandungan mesej tersembunyi.
Jika musuh entah bagaimana menyedari kewujudan mesej tersembunyi, ini tidak sepatutnya membenarkan dia mengeluarkan mesej serupa dalam data lain selagi kuncinya dirahsiakan.
Seorang musuh yang berpotensi mesti dilucutkan daripada sebarang kelebihan teknikal atau kelebihan lain dalam mengenali atau mendedahkan kandungan mesej rahsia.
Model umum stegosystem dibentangkan dalam Rajah. 9.5.
nasi. 9.5. Model stegosystem umum
Sebagai data Sebarang maklumat boleh digunakan: teks, mesej, imej, dsb.
Dalam kes umum, adalah dinasihatkan untuk menggunakan perkataan "mesej", kerana mesej boleh sama ada teks atau imej, atau, sebagai contoh, data audio. Dalam perkara berikut, kami akan menggunakan istilah mesej untuk menandakan maklumat tersembunyi.
bekas– sebarang maklumat yang bertujuan untuk menyembunyikan mesej rahsia.
Stegokey atau hanya kunci - kunci rahsia yang diperlukan untuk menyembunyikan maklumat. Bergantung pada bilangan tahap keselamatan (contohnya, membenamkan mesej yang telah disulitkan), mungkin terdapat satu atau lebih kunci stego dalam sistem stego.
Dengan analogi dengan kriptografi, berdasarkan jenis stegokey, stegosystems boleh dibahagikan kepada dua jenis:
dengan kunci rahsia;
dengan kunci awam.
Stegosystem kunci rahsia menggunakan satu kunci, yang mesti ditentukan sama ada sebelum mesej rahsia ditukar atau dihantar melalui saluran selamat.
Dalam stegosystem kunci awam, kunci yang berbeza digunakan untuk membenamkan dan mengekstrak mesej, yang berbeza dalam cara yang tidak mungkin untuk membuat kesimpulan secara pengiraan satu kunci daripada yang lain. Oleh itu, satu kunci (awam) boleh dihantar secara bebas melalui saluran komunikasi yang tidak selamat. Selain itu, skim ini juga berfungsi dengan baik apabila terdapat rasa saling tidak percaya antara pengirim dan penerima.
Pada masa ini adalah mungkin untuk membezakan tiga Arahan penggunaan steganografi yang berkait rapat antara satu sama lain dan mempunyai akar yang sama: menyembunyikan data(mesej), tera air digital Dan tajuk.
Menyembunyikan data yang disuntik, yang dalam kebanyakan kes adalah besar, mengenakan keperluan yang serius pada bekas: saiz bekas mestilah beberapa kali lebih besar daripada saiz data terbenam.
Tera air digital digunakan untuk melindungi hak cipta atau hak milik dalam imej digital, gambar atau karya seni digital lain. Keperluan utama untuk data terbenam tersebut ialah kebolehpercayaan dan rintangan terhadap herotan. Tera air digital bersaiz kecil, tetapi memandangkan keperluan di atas, membenamkannya memerlukan teknik yang lebih canggih daripada sekadar membenamkan mesej atau pengepala.
Tajuk digunakan terutamanya untuk menandai imej dalam repositori elektronik besar (perpustakaan) imej digital, fail audio dan video. Dalam kes ini, kaedah steganografi digunakan bukan sahaja untuk memperkenalkan pengepala pengenalpastian, tetapi juga ciri-ciri individu fail yang lain. Pengepala terbenam bersaiz kecil, dan keperluan untuknya adalah minimum: pengepala mesti memperkenalkan herotan kecil dan tahan terhadap transformasi geometri asas.
Kriptografi komputer adalah berdasarkan beberapa prinsip:
Mesej boleh dihantar menggunakan pengekodan hingar. Sukar untuk dikesan dengan latar belakang hingar perkakasan dalam talian telefon atau kabel rangkaian.
Mesej boleh diletakkan dalam ruang fail atau cakera tanpa kehilangan fungsi. Fail boleh laku mempunyai struktur berbilang segmen kod boleh laku; sekumpulan bait boleh dimasukkan antara segmen kosong. Beginilah cara virus WinCIH menyembunyikan badannya. Fail sentiasa menduduki bilangan integer kelompok pada cakera, jadi panjang fizikal dan logik fail jarang sama. Anda juga boleh menulis sesuatu dalam tempoh ini. Anda boleh memformatkan trek perantaraan cakera dan meletakkan mesej padanya. Terdapat cara yang lebih mudah, yang terdiri daripada menambah bilangan ruang tertentu yang membawa beban maklumat ke penghujung baris HTML atau fail teks.
Deria manusia tidak dapat membezakan perubahan kecil dalam warna, imej atau bunyi. Ini digunakan pada data yang membawa maklumat berlebihan. Contohnya, audio 16-bit atau imej 24-bit. Menukar nilai bit yang bertanggungjawab untuk warna piksel tidak akan membawa kepada perubahan warna yang ketara. Ini juga termasuk kaedah fon tersembunyi. herotan halus dibuat dalam garis besar huruf yang akan membawa beban semantik. Anda boleh memasukkan simbol serupa ke dalam dokumen Microsoft Word yang mengandungi mesej tersembunyi.
Yang paling biasa dan salah satu produk perisian terbaik untuk steganografi ialah S-Tools (status perisian percuma). Ia membolehkan anda menyembunyikan sebarang fail dalam format GIF, BMP dan WAV. Melaksanakan pemampatan terkawal (pengarkiban) data. Di samping itu, ia melakukan penyulitan menggunakan algoritma MCD, DES, triple-DES, IDEA (pilihan). Fail grafik kekal tanpa perubahan yang boleh dilihat, hanya warna yang berubah. Bunyi juga kekal tanpa perubahan yang ketara. Walaupun syak wasangka timbul, adalah mustahil untuk memastikan fakta bahawa S-Tools sedang digunakan tanpa mengetahui kata laluan.
9.6.8. Pensijilan dan penyeragaman sistem kripto. Semua negeri memberi perhatian kepada isu kriptografi. Terdapat percubaan berterusan untuk mengenakan had tertentu, larangan dan sekatan lain ke atas pengeluaran, penggunaan dan eksport alat kriptografi. Sebagai contoh, di Rusia import dan eksport cara keselamatan maklumat, khususnya cara kriptografi, dilesenkan mengikut Dekri Presiden Persekutuan Rusia bertarikh 3 April 1995 No. 334 dan Dekri Kerajaan Persekutuan Rusia bertarikh 15 April 1994 No 331.
Seperti yang telah disebutkan, sistem kripto tidak boleh dianggap boleh dipercayai jika algoritma operasinya tidak diketahui sepenuhnya. Hanya mengetahui algoritma anda boleh menyemak sama ada perlindungan itu stabil. Walau bagaimanapun, hanya pakar yang boleh menyemak ini, dan walaupun pemeriksaan sedemikian selalunya sangat rumit sehingga tidak dapat dilaksanakan secara ekonomi. Bagaimanakah pengguna biasa yang tidak tahu matematik boleh yakin dengan kebolehpercayaan sistem kripto yang ditawarkan kepadanya?
Bagi bukan pakar, bukti kebolehpercayaan boleh menjadi pendapat pakar bebas yang kompeten. Di sinilah timbulnya sistem pensijilan. Semua sistem keselamatan maklumat tertakluk kepadanya supaya perusahaan dan institusi boleh menggunakannya secara rasmi. Ia tidak dilarang untuk menggunakan sistem yang tidak disahkan, tetapi dalam kes ini anda menganggap keseluruhan risiko bahawa ia tidak akan cukup dipercayai atau akan mempunyai "pintu belakang". Tetapi untuk menjual produk keselamatan maklumat, pensijilan diperlukan. Peruntukan sedemikian terpakai di Rusia dan di kebanyakan negara.
Satu-satunya badan kami yang diberi kuasa untuk menjalankan pensijilan ialah Agensi Persekutuan untuk Komunikasi dan Maklumat Kerajaan di bawah Presiden Persekutuan Rusia (FAPSI). Badan ini mendekati isu pensijilan dengan sangat berhati-hati. Sangat sedikit perkembangan daripada syarikat pihak ketiga yang dapat memperoleh sijil FAPSI.
Di samping itu, FAPSI melesenkan aktiviti perusahaan yang berkaitan dengan pembangunan, pengeluaran, penjualan dan pengendalian alat penyulitan, serta cara teknikal yang selamat untuk menyimpan, memproses dan menghantar maklumat, menyediakan perkhidmatan dalam bidang penyulitan maklumat (Dekri Presiden Persekutuan Rusia bertarikh 3 April 1995 No. 334 "Mengenai langkah-langkah untuk mematuhi undang-undang dalam pembangunan pengeluaran, penjualan dan pengendalian alat penyulitan, serta penyediaan perkhidmatan dalam bidang penyulitan maklumat"; dan Undang-undang Persekutuan Rusia "Mengenai Badan Persekutuan Komunikasi dan Maklumat Kerajaan").
Untuk pensijilan, prasyarat adalah pematuhan dengan piawaian semasa membangunkan sistem keselamatan maklumat. Piawaian mempunyai fungsi yang sama. Mereka membenarkan, tanpa menjalankan penyelidikan yang kompleks, mahal dan tidak selalu mungkin, untuk mendapatkan keyakinan bahawa algoritma yang diberikan memberikan perlindungan tahap kebolehpercayaan yang mencukupi.
9.6.9. Arkib yang disulitkan. Banyak program aplikasi termasuk ciri penyulitan. Berikut ialah contoh beberapa alatan perisian yang mempunyai keupayaan penyulitan.
Program arkib (contohnya, WinZip) mempunyai pilihan untuk menyulitkan maklumat yang diarkibkan. Ia boleh digunakan untuk maklumat yang tidak terlalu penting. Pertama, kaedah penyulitan yang digunakan di sana tidak begitu boleh dipercayai (tertakluk kepada sekatan eksport rasmi), dan kedua, ia tidak diterangkan secara terperinci. Semua ini tidak membenarkan kami untuk serius bergantung pada perlindungan sedemikian. Arkib dengan kata laluan hanya boleh digunakan untuk pengguna "biasa" atau maklumat bukan kritikal.
Pada sesetengah tapak Internet anda boleh menemui program untuk membuka arkib yang disulitkan. Sebagai contoh, arkib ZIP boleh dibuka pada komputer yang baik dalam beberapa minit, dan tiada kelayakan khas diperlukan daripada pengguna.
Catatan. Program untuk meneka kata laluan: Ultra Zip Password Cracker 1.00 – Program pantas untuk meneka kata laluan untuk arkib yang disulitkan. Antara muka Rusia/Inggeris. Win"95/98/NT. (Pembangun - "m53group") Pemulihan Kata Laluan ZIP Lanjutan 2.2 - Program yang berkuasa untuk memilih kata laluan untuk arkib ZIP. Kelajuan tinggi, antara muka grafik, fungsi tambahan. OS: Windows95/98/NT. Syarikat pembangun – “Elcom Ltd.”, perisian kongsi.
Penyulitan dalam MS Word dan MS Excel. Microsoft telah memasukkan beberapa kesamaan perlindungan kriptografi dalam produknya. Tetapi perlindungan ini sangat tidak stabil. Di samping itu, algoritma penyulitan tidak diterangkan, yang merupakan penunjuk tidak boleh dipercayai. Di samping itu, terdapat bukti bahawa Microsoft meninggalkan "pintu belakang" dalam algoritma crypto yang digunakannya. Jika anda perlu menyahsulit fail yang anda telah kehilangan kata laluan, anda boleh menghubungi syarikat itu. Atas permintaan rasmi, dengan alasan yang munasabah, mereka menyahsulit fail MS Word dan MS Excel. By the way, beberapa pengeluar perisian lain melakukan perkara yang sama.
Pemacu yang disulitkan (direktori). Penyulitan ialah kaedah yang agak boleh dipercayai untuk melindungi maklumat pada cakera keras. Walau bagaimanapun, jika jumlah maklumat yang akan ditutup tidak terhad kepada dua atau tiga fail, maka agak sukar untuk bekerja dengannya: setiap kali anda perlu menyahsulit fail, dan selepas mengedit, menyulitkannya kembali. Dalam kes ini, salinan keselamatan fail yang dibuat oleh banyak editor mungkin kekal pada cakera. Oleh itu, adalah mudah untuk menggunakan program khas (pemacu) yang secara automatik menyulitkan dan menyahsulit semua maklumat apabila menulisnya ke cakera dan membacanya dari cakera.
Kesimpulannya, kami ambil perhatian bahawa dasar keselamatan ditakrifkan sebagai satu set keputusan pengurusan yang didokumenkan bertujuan untuk melindungi maklumat dan sumber yang berkaitan. Apabila membangunkan dan melaksanakannya, adalah dinasihatkan untuk dipandu oleh prinsip asas berikut:
Ketidakupayaan untuk memintas peralatan perlindungan. Semua maklumat yang mengalir ke dan dari rangkaian yang dilindungi mesti melalui langkah keselamatan. Seharusnya tiada input modem rahsia atau talian ujian yang memintas keselamatan.
Mengukuhkan pautan yang paling lemah. Kebolehpercayaan mana-mana perlindungan ditentukan oleh pautan paling lemah, kerana penyerang menggodamnya. Selalunya pautan paling lemah bukanlah komputer atau program, tetapi seseorang, dan kemudian masalah memastikan keselamatan maklumat menjadi tidak bersifat teknikal.
Ketidakupayaan untuk memasuki keadaan tidak selamat. Prinsip ketidakmungkinan peralihan kepada keadaan tidak selamat bermakna dalam apa jua keadaan, termasuk yang tidak normal, peranti pelindung sama ada melaksanakan fungsinya sepenuhnya atau menyekat akses sepenuhnya.
Meminimumkan Keistimewaan. Prinsip keistimewaan paling rendah memerlukan pengguna dan pentadbir hanya diberi hak akses yang mereka perlukan untuk melaksanakan tanggungjawab kerja mereka.
Pengasingan tugas. Prinsip pengasingan tugas mengandaikan pengagihan peranan dan tanggungjawab di mana seseorang tidak boleh mengganggu proses yang kritikal kepada organisasi.
Tahap pertahanan. Prinsip pertahanan terpencil menetapkan untuk tidak bergantung pada satu barisan pertahanan. Pertahanan secara mendalam sekurang-kurangnya boleh melambatkan penyerang dan menjadikannya lebih sukar untuk melakukan tindakan berniat jahat tanpa disedari.
Pelbagai peralatan perlindungan. Prinsip kepelbagaian cara perlindungan mengesyorkan mengatur barisan pertahanan yang berbeza sifat, supaya penyerang berpotensi diperlukan untuk menguasai pelbagai, jika boleh, kemahiran yang tidak serasi.
Kesederhanaan dan kebolehkawalan sistem maklumat. Prinsip kesederhanaan dan kebolehurusan menyatakan bahawa hanya dalam sistem yang mudah dan terurus boleh ketekalan konfigurasi komponen yang berbeza diperiksa dan pentadbiran berpusat dijalankan.
Pastikan sokongan semua orang untuk langkah keselamatan. Prinsip sokongan sejagat untuk langkah keselamatan adalah bukan teknikal. Jika pengguna dan/atau pentadbir sistem menganggap keselamatan maklumat sebagai sesuatu yang tidak perlu atau bermusuhan, maka sudah tentu tidak mungkin untuk mewujudkan rejim keselamatan. Ia adalah perlu dari awal lagi untuk menyediakan satu set langkah yang bertujuan untuk memastikan kesetiaan kakitangan dan latihan teori dan praktikal yang berterusan.
