Программно-аппаратные средства защиты информации от НСД к ПЭВМ

Размещено на http://www.allbest.ru

Размещено на http://www.allbest.ru

Областное государственное бюджетное образовательное учреждение среднего профессионального образования «Томской индустриальный техникум»

Курсовая на тему:

«Программно-аппаратные средства защиты информации от НСД к ПЭВМ»

Работу выполнил

Студент группы 432

Швецов Антон

Работу проверил

Лутовинов С.В.

Г.Томск



Введение

Вечная проблема - защита информации. На различных этапах своего развития человечество решало эту проблему с присущей для данной эпохи характерностью. Изобретение компьютера и дальнейшее бурное развитие информационных технологий во второй половине ХХ века сделали проблему защиты информации настолько актуальной и острой, насколько актуальна сегодня информатизация для всего общества.

Главная тенденция, характеризующая развитие современных информационных технологий - рост числа компьютерных преступлений и связанных с ними хищений конфиденциальной и иной информации, а также материальных потерь.

Сегодня, наверное, никто не сможет с уверенностью назвать точную цифру суммарных потерь от компьютерных преступлений, связанных с несанкционированным доступом к информации. Это объясняется, прежде всего, нежеланием пострадавших компаний обнародовать информацию о своих потерях, а также тем, что не всегда потери от хищения информации можно точно оценить в денежном эквиваленте.

Причин активизации компьютерных преступлений и связанных с ними финансовых потерь достаточно много, существенными из них являются : переход от традиционной “бумажной” технологии хранения и передачи сведений на электронную и недостаточное при этом развитие технологии защиты информации в таких технологиях; объединение вычислительных систем, создание глобальных сетей и расширение доступа к информационным ресурсам; увеличение сложности программных средств и связанное с этим уменьшение их надежности и увеличением числа уязвимостей.

Любое современное предприятие независимо от вида деятельности и формы собственности не в состоянии успешно развиваться и вести хозяйственную деятельность без создания на нем условий для надежного функционирования системы защиты собственной информации.

Отсутствие у многих руководителей предприятий и компаний четкого представления по вопросам защиты информации приводит к тому, что им сложно в полной мере оценить необходимость создания надежной системы защиты информации на своем предприятии и тем более сложно бывает определить конкретные действия, необходимые для защиты тех или иных конфиденциальных сведений.



Средства ограничений физического доступа

Наиболее надежное решение проблемы ограничения физического доступа к компьютеру - использование аппаратных средств защиты информации от НСД, выполняющихся до загрузки операционной системы. Средства защиты данной категории называются «электронными замками». Пример электронного замка представлен на (приложении рис. 1)

Теоретически, любое программное средство контроля доступа может подвергнуться воздействию злоумышленника с целью искажения алгоритма работы такого средства и последующего получения доступа к системе. Поступить подобным образом с аппаратным средством защиты практически невозможно: все действия по контролю доступа пользователей электронный замок выполняет в собственной доверенной программной среде, которая не подвержена внешним воздействиям.

На подготовительном этапе использования электронного замка выполняется его установка и настройка. Настройка включает в себя следующие действия, обычно выполняемые ответственным лицом - Администратором по безопасности:

Создание списка пользователей, которым разрешен доступ на защищаемый компьютер. Для каждого пользователя формируется ключевой носитель (в зависимости от поддерживаемых конкретным замком интерфейсов - дискета, электронная таблетка iButton или смарт-карта), по которому будет производиться аутентификация пользователя при входе. Список пользователей сохраняется в энергонезависимой памяти замка.

Формирование списка файлов, целостность которых контролируется замком перед загрузкой операционной системы компьютера. Контролю подлежат важные файлы операционной системы, например, следующие:

системные библиотеки Windows;

исполняемые модули используемых приложений;

шаблоны документов MicrosoftWord и т. д.

Контроль целостности файлов представляет собой вычисление их эталонной контрольной суммы, например, хэширование по алгоритму ГОСТ Р 34.11-94, сохранение вычисленных значений в энергонезависимой памяти замка и последующее вычисление реальных контрольных сумм файлов и сравнение с эталонными.

В штатном режиме работы электронный замок получает управление от BIOS защищаемого компьютера после включения последнего. На этом этапе и выполняются все действия по контролю доступа на компьютер (см. упрощенную схему алгоритма на приложении рис 2), а именно:

Замок запрашивает у пользователя носитель с ключевой информацией, необходимой для его аутентификации. Если ключевая информация требуемого формата не предъявляется или если пользователь, идентифицируемый по предъявленной информации, не входит в список пользователей защищаемого компьютера, замок блокирует загрузку компьютера.

Если аутентификация пользователя прошла успешно, замок рассчитывает контрольные суммы файлов, содержащихся в списке контролируемых, и сравнивает полученные контрольные суммы с эталонными. В случае, если нарушена целостность хотя бы одного файла из списка, загрузка компьютера блокируется. Для возможности дальнейшей работы на данном компьютере необходимо, чтобы проблема была разрешена Администратором, который должен выяснить причину изменения контролируемого файла и, в зависимости от ситуации, предпринять одно из следующих действий, позволяющих дальнейшую работу с защищаемым компьютером:

пересчитать эталонную контрольную сумму для данного файла, т.е. зафиксировать измененный файл;

восстановить исходный файл;

удалить файл из списка контролируемых.

Если все проверки пройдены успешно, замок возвращает управление компьютеру для загрузки штатной операционной системы.

Поскольку описанные выше действия выполняются до загрузки операционной системы компьютера, замок обычно загружает собственную операционную систему (находящуюся в его энергонезависимой памяти - обычно это MS-DOS или аналогичная ОС, не предъявляющая больших требований к ресурсам), в которой выполняются аутентификация пользователей и проверка целостности файлов. В этом есть смысл и с точки зрения безопасности - собственная операционная система замка не подвержена каким-либо внешним воздействиям, что не дает возможности злоумышленнику повлиять на описанные выше контролирующие процессы.

Информация о входах пользователей на компьютер, а также о попытках несанкционированного доступа сохраняется в журнале, который располагается в энергонезависимой памяти замка. Журнал может быть просмотрен Администратором.

При использовании электронных замков существует ряд проблем, в частности:

BIOS некоторых современных компьютеров может быть настроен таким образом, что управление при загрузке не передается BIOS'у замка. Для противодействия подобным настройкам замок должен иметь возможность блокировать загрузку компьютера (например, замыканием контактов Reset) в случае, если в течение определенного интервала времени после включения питания замок не получил управление.

Злоумышленник может просто вытащить замок из компьютера. Однако, существует ряд мер противодействия:

Различные организационно-технические меры: пломбирование корпуса компьютера, обеспечение отсутствие физического доступа пользователей к системному блоку компьютера и т. д.

Существуют электронные замки, способные блокировать корпус системного блока компьютера изнутри специальным фиксатором по команде администратора - в этом случае замок не может быть изъят без существенного повреждения компьютера.

Довольно часто электронные замки конструктивно совмещаются с аппаратным шифратором. В этом случае рекомендуемой мерой защиты является использование замка совместно с программным средством прозрачного (автоматического) шифрования логических дисков компьютера. При этом ключи шифрования могут быть производными от ключей, с помощью которых выполняется аутентификация пользователей в электронном замке, или отдельными ключами, но хранящимися на том же носителе, что и ключи пользователя для входа на компьютер. Такое комплексное средство защиты не потребует от пользователя выполнения каких-либо дополнительных действий, но и не позволит злоумышленнику получить доступ к информации даже при вынутой аппаратуре электронного замка.

Идентификация и аутентификация пользователей

Средства идентификации и аутентификации -электронные идентификаторы- являются частью аппаратно-программных систем идентификации и аутентификации (СИА), в которые входят также устройства ввода-вывода и соответствующее ПО.

Идентификация представляет собой процесс распознавания пользователя по присущему или присвоенному ему идентификационному признаку.Аутентификация- процесс проверки принадлежности пользователю предъявленного им идентификационного признака.

Электронные идентификаторы предназначены для хранения уникальных идентификационных признаков, а также для хранения и обработки конфиденциальных данных. Устройства ввода-вывода и ПО осуществляют обмен данными между идентификатором и защищаемым компьютером. Идентификационные признаки представляются в виде цифрового кода, хранящегося в памяти идентификатора

По способу обмена данными между идентификатором и устройством ввода-вывода электронные СИА подразделяются на:

Контактные- при непосредственном соприкосновении идентификатора с устройством ввода-вывода;

бесконтактные- при отсутствии четкого позиционирования идентификатора и устройства ввода-вывода (чтение / запись данных происходит при поднесении идентификатора на определенное расстояние к устройству ввода-вывода).

Современные электронные СИА разрабатываются на базе следующих идентификаторов:

смарт-карт;

радиочастотных, или RFID-идентификаторов;

идентификаторов iButton;

USB-ключей, или USB-токенов.

Контактные идентификаторы подразделяются на идентификаторы iButton, смарт-карты и USB-ключи.

Идентификатор iButton представляет собой встроенную в герметичный стальной корпус микросхему, питание которой обеспечивает миниатюрная литиевая батарейка. Основу чипа составляют мультиплексор и память. Помимо этого некоторые типы идентификаторов содержат дополнительные компоненты.

Контактные смарт-карты делиться на процессорные карты и карты с памятью. Выпускаются в виде пластиковых карточек. Основу внутренней структуры современной процессорной смарт-карты составляет чип, в состав которого входят процессор (или несколько процессоров), оперативная память RAM, постоянная память ROM и энергонезависимая программируемая постоянная память PROM.

USB-ключи предназначаются для работы с USB-портом компьютера. Конструктивно изготавливаются в виде брелоков, выпускаемых в цветных корпусах и имеющих световые индикаторы работы. Каждый идентификатор имеет прошиваемый при изготовлении уникальный 32/64-разрядный серийный номер.

Бесконтактные идентификаторы разделяются на идентификаторы Proximity и смарт-карты. Конструктивно они изготавливаются в виде пластиковых карточек, брелоков, жетонов, дисков, меток и т. п. Основными компонентами идентификаторов являются чип и антенна. Каждый идентификатор имеет уникальный 32/64-разрядный серийный номер.

Достоинством радиочастотных идентификаторов, смарт-карт и USB-ключей являются защищенная энергонезависимая память и криптографический процессор, позволяющие повысить уровень защиты устройств, входящие в их состав.

Прежде чем получить доступ к ресурсам, пользователь должен пройти процесс представления компьютерной системе, который включает две стадии:

идентификацию - пользователь сообщает системе по ее запросу свое имя (идентификатор);

аутентификацию - пользователь подтверждает идентификацию, вводя в систему уникальную, не известную другим пользователям информацию о себе (например, пароль).

Для проведения процедур идентификации и аутентификации пользователя необходимо наличие:

программы аутентификации;

уникальная информация о пользователе.

Различают две формы хранения информации о пользователе: внешняя (например, пластиковая карта) и внутренняя (например, запись в базе данных).

Рассмотрим структуры данных и протоколы идентификации и аутентификации пользователя.

Практически любому ключевому носителю информации, используемому для опознания, соответствует следующая структура данных о пользователе:

IDi - неизменный идентификатор i-го пользователя, который является аналогом имени и используется для идентификации пользователя;

Ki - аутентифицирующая информация пользователя, которая может изменяться и служит для аутентификации (например, пароль Pi = Ki).

Так для носителей типа пластиковых карт выделяется неизменяемая информация IDi и объект в файловой структуре карты, содержащий Ki.

Совокупную информацию в ключевом носителе можно назвать первичной аутентифицирующей информацией i-го пользователя. Очевидно, что внутренний аутентифицирующий объект не должен существовать в системе длительное время (больше времени работы конкретного пользователя). Например, Вы ввели пароль, который программа аутентификации занесла в переменную для сравнения с хранящимися в базе данных. Эта переменная должна быть обнулена не позже, чем Вы закончите свой сеанс. Для длительного хранения следует использовать данные в защищенной форме.

Рассмотрим две типовые схемы идентификации и аутентификации.

Схема 1. В компьютерной системе хранится:

Номер пользователя	Информация для идентификации	Информация для аутентификации
1	ID1	E1
2	ID2	E2
...	...	...
n	IDn	En

Здесь Ei = F(IDi, Ki), где "невосстановимость" Ki оценивается некоторой пороговой трудоемкостью T0 решения задачи восстановления Ki по Ei и IDi. Кроме того для пары Ki и Kj возможно совпадение соответствующих значений E. В связи с этим вероятность ложной аутентификации пользователей не должна быть больше некоторого порогового значения P0. На практике задают T0 = 1020...1030, P0 = 10-7...10-9.

Протокол идентификации и аутентификации (для схемы 1).

Пользователь предъявляет свой идентификатор ID.

Если существует i = 1...n, для которого ID = IDi, то пользователь идентификацию прошел успешно. Иначе пользователь не допускается к работе.

Модуль аутентификации запрашивает у пользователя его аутентификатор K.

Вычисляется значение E = F(ID, K).

Если E = Ei, то аутентификация прошла успешно. Иначе пользователь не допускается к работе.

Схема 2 (модифицированная). В компьютерной системе хранится:

Номер пользователя	Информация для идентификации	Информация для аутентификации
1	ID1, S1	E1
2	ID2, S2	E2
...	...	...
n	IDn, Sn	En

Здесь Ei = F(Si, Ki), где S - случайный вектор, задаваемый при создании идентификатора пользователя; F - функция, которая обладает свойством "невосстановимости" значения Ki по Ei и Si.

Протокол идентификации и аутентификации (для схемы 2).

Пользователь предъявляет свой идентификатор ID.

Если существует i = 1...n, для которого ID = IDi, то пользователь идентификацию прошел успешно. Иначе пользователь не допускается к работе.

По идентификатору ID выделяется вектор S.

Модуль аутентификации запрашивает у пользователя его аутентификатор K.

Вычисляется значение E = F(S, K).

Если E = Ei, то аутентификация прошла успешно. Иначе пользователь не допускается к работе.

Вторая схема аутентификации применяется в OC UNIX. В качестве идентификатора используется имя пользователя (запрошенное по Login), в качестве аутентификатора - пароль пользователя (запрошенный по Password). Функция F представляет собой алгоритм шифрования DES. Эталоны для идентификации и аутентификации содержатся в файле Etc/passwd.

Следует отметить, что необходимым требованием устойчивости схем идентификации и аутентификации к восстановлению информации Ki является случайный равновероятный выбор Ki из множества возможных значений.

Простейший метод применения пароля основан на сравнении представленного пароля с исходным значением, хранящимся в памяти. Если значения совпадают, то пароль считается подлинным, а пользователь - законным. Перед пересылкой по незащищенному каналу пароль должен шифроваться. Если злоумышленник каким-либо способом все же узнает пароль и идентификационный номер законного пользователя, он получит доступ в систему.

Лучше вместо открытой формы пароля P пересылать его отображение, получаемое с использованием односторонней функции f(P). Это преобразование должно гарантировать невозможность раскрытия пароля по его отображению. Так противник наталкивается на неразрешимую числовую задачу.

Например, функция f может быть определена следующим образом:

f(P) = EP(ID) ,где P - пароль, ID - идентификатор, EP - процедура шифрования, выполняемая с использованием пароля в качестве ключа.

На практике пароль состоит из нескольких букв. Но короткий пароль уязвим к атаке полного перебора. Для того, чтобы предотвратить такую атаку, функцию f определяют иначе:

f(P) = EP + K(ID) ,где K - ключ (таблетка Toch-memory, USB-ключ и т.п.)

Процедуры идентификации и аутентификации пользователя могут базироваться не только на секретной информации, которой обладает пользователь (пароль, секретный ключ, персональный идентификатор и т.п.). В последнее время все большее распространение получает биометрическая идентификация и аутентификация, позволяющая уверенно идентифицировать потенциального пользователя путем измерения физиологических параметров и характеристик человека, особенностей его поведения.

Основные достоинства биометрических методов идентификации и аутентификации:

высокая степень достоверности идентификации по биометрических признакам из-за их уникальности;

неотделимость биометрических признаков от дееспособной личности;

трудность фальсификации биометрических признаков.

В качестве биометрических признаков, которые могут быть использованы для идентификации потенциального пользователя, используются:

узор радужной оболочки и сетчатки глаз;

отпечатки пальцев;

геометрическая форма руки;

форма и размеры лица;

термограмма лица;

форма ушей;

особенности голоса;

ДНК;

биомеханические характеристики рукописной подписи;

биомеханические характеристики "клавиатурного почерка".

При регистрации пользователь должен продемонстрировать один или несколько раз свои характерные биометрические признаки. Эти признаки (известные как подлинные) регистрируются системой как контрольный "образ" законного пользователя. Этот образ пользователя хранится в электронной форме и используется для проверки идентичности каждого, кто выдает себя за соответствующего законного пользователя.

Системы идентификации по узору радужной оболочки и сетчатки глаз могут быть разделены на два класса:

использующие рисунок радужной оболочки глаза;

использующие рисунок кровеносных сосудов сетчатки глаза.

Поскольку вероятность повторения данных параметров равна 10-78, эти системы являются наиболее надежными среди всех биометрических систем. Такие средства применяются, например, в США в зонах военных и оборонных объектов.

Системы идентификации по отпечаткам пальцев являются самыми распространенными. Одна из основных причин широкого распространения таких систем заключается в наличии больших банков данных по отпечаткам пальцев. Основными пользователями таких систем во всем мире являются полиция, различные государственные организации и некоторые банки.

Системы идентификации по геометрической форме руки используют сканеры формы руки, обычно устанавливаемые на стенах. Следует отметить, что подавляющее большинство пользователей предпочитают системы именно этого типа.

Системы идентификации по лицу и голосу являются наиболее доступными из-за их дешевизны, поскольку большинство современных компьютеров имеют видео- и аудиосредства. Системы данного класса широко применяются при удаленной идентификации в телекоммуникационных сетях.

Системы идентификации по динамике рукописной подписи учитывают интенсивность каждого усилия подписывающегося, частотные характеристики написания каждого элемента подписи и начертания подписи в целом.

Системы идентификации по биомеханическим характеристикам "клавиатурного почерка" основываются на том, что моменты нажатия и отпускания клавиш при наборе текста на клавиатуре существенно различаются у разных пользователей. Этот динамический ритм набора ("клавиатурный почерк") позволяет построить достаточно надежные средства идентификации.

Следует отметить, что применение биометрических параметров при идентификации субъектов доступа автоматизированных систем пока не получило надлежащего нормативно-правового обеспечения, в частности в виде стандартов. Поэтому применение систем биометрической идентификации допускается только в системах, обрабатывающих и хранящих персональные данные, составляющие коммерческую и служебную тайну.

Средства защиты от НСД по сети

Наиболее действенными методами защиты от несанкционированного доступа по компьютерным сетям являются виртуальные частные сети (VPN - VirtualPrivateNetwork) и межсетевое экранирование. Рассмотрим их подробно.

Виртуальные частные сети

Виртуальные частные сети обеспечивают автоматическую защиту целостности и конфиденциальности сообщений, передаваемых через различные сети общего пользования, прежде всего, через Интернет. Фактически, VPN - это совокупность сетей, на внешнем периметре которых установлены VPN-агенты (см. рис. 3). VPN-агент - это программа (или программно-аппаратный комплекс), собственно обеспечивающая защиту передаваемой информации путем выполнения описанных ниже операций.

Перед отправкой в сеть любого IP-пакета VPN-агент производит следующее:

Из заголовка IP-пакета выделяется информация о его адресате. Согласно этой информации на основе политики безопасности данного VPN-агента выбираются алгоритмы защиты (если VPN-агент поддерживает несколько алгоритмов) и криптографические ключи, с помощью которых будет защищен данный пакет. В том случае, если политикой безопасности VPN-агента не предусмотрена отправка IP-пакета данному адресату или IP-пакета с данными характеристиками, отправка IP-пакета блокируется.

С помощью выбранного алгоритма защиты целостности формируется и добавляется в IP-пакет электронная цифровая подпись (ЭЦП), имитоприставка или аналогичная контрольная сумма.

С помощью выбранного алгоритма шифрования производится зашифрование IP-пакета.

С помощью установленного алгоритма инкапсуляции пакетов зашифрованный IP-пакет помещается в готовый для передачи IP-пакет, заголовок которого вместо исходной информации об адресате и отправителе содержит соответственно информацию о VPN-агенте адресата и VPN-агенте отправителя. Т.е. выполняется трансляция сетевых адресов.

Пакет отправляется VPN-агенту адресата. При необходимости, производится его разбиение и поочередная отправка результирующих пакетов.

При приеме IP-пакета VPN-агент производит следующее:

Из заголовка IP-пакета выделяется информация о его отправителе. В том случае, если отправитель не входит в число разрешенных (согласно политике безопасности) или неизвестен (например, при приеме пакета с намеренно или случайно поврежденным заголовком), пакет не обрабатывается и отбрасывается.

Согласно политике безопасности выбираются алгоритмы защиты данного пакета и ключи, с помощью которых будет выполнено расшифрование пакета и проверка его целостности.

Выделяется информационная (инкапсулированная) часть пакета и производится ее расшифрование.

Производится контроль целостности пакета на основе выбранного алгоритма. В случае обнаружения нарушения целостности пакет отбрасывается.

Пакет отправляется адресату (по внутренней сети) согласно информации, находящейся в его оригинальном заголовке.

VPN-агент может находиться непосредственно на защищаемом компьютере (например, компьютеры «удаленных пользователей» на рис. 3). В этом случае с его помощью защищается информационный обмен только того компьютера, на котором он установлен, однако описанные выше принципы его действия остаются неизменными.

Основное правило построения VPN - связь между защищенной ЛВС и открытой сетью должна осуществляться только через VPN-агенты. Категорически не должно быть каких-либо способов связи, минующих защитный барьер в виде VPN-агента. Т.е. должен быть определен защищаемый периметр, связь с которым может осуществляться только через соответствующее средство защиты.

Политика безопасности является набором правил, согласно которым устанавливаются защищенные каналы связи между абонентами VPN. Такие каналы обычно называют туннелями, аналогия с которыми просматривается в следующем:

Вся передаваемая в рамках одного туннеля информация защищена как от несанкционированного просмотра, так и от модификации.

Инкапсуляция IP-пакетов позволяет добиться сокрытия топологии внутренней ЛВС: из Интернет обмен информации между двумя защищенными ЛВС виден как обмен информацией только междуих VPN-агентами, поскольку все внутренние IP-адреса в передаваемых через Интернет IP-пакетах в этом случае не фигурируют.

Правила создания туннелей формируются в зависимости от различных характеристик IP-пакетов, например, основной при построении большинства VPN протокол IPSec (SecurityArchitecturefor IP) устанавливает следующий набор входных данных, по которым выбираются параметры туннелирования и принимается решение при фильтрации конкретного IP-пакета:

IP-адрес источника. Это может быть не только одиночный IP-адрес, но и адрес подсети или диапазон адресов.

IP-адрес назначения. Также может быть диапазон адресов, указываемый явно, с помощью маски подсети или шаблона.

Идентификатор пользователя (отправителя или получателя).

Протокол транспортного уровня (TCP/UDP).

Номер порта, с которого или на который отправлен пакет.

Межсетевое экранирование

Межсетевой экран представляет собой программное или программно-аппаратное средство, обеспечивающее защиту локальных сетей и отдельных компьютеров от несанкционированного доступа со стороны внешних сетей путем фильтрации двустороннего потока сообщений при обмене информацией. Фактически, межсетевой экран является «урезанным» VPN-агентом, не выполняющим шифрование пакетов и контроль их целостности, но в ряде случаев имеющим ряд дополнительных функций, наиболее часто из которых встречаются следующие:

антивирусное сканирование;

контроль корректности пакетов;

контроль корректности соединений (например, установления, использования и разрыва TCP-сессий);

контент-контроль.

Межсетевые экраны, не обладающие описанными выше функциями и выполняющими только фильтрацию пакетов, называют пакетными фильтрами.

По аналогии с VPN-агентами существуют и персональные межсетевые экраны, защищающие только компьютер, на котором они установлены.

Межсетевые экраны также располагаются на периметре защищаемых сетей и фильтруют сетевой трафик согласно настроенной политике безопасности.

Взаимная проверка подлинности пользователей

защита информация аутентификация подлинность

Обычно стороны, вступающие в информационный обмен, нуждаются во взаимной аутентификации. Этот процесс выполняется в начале сеанса связи.

Для проверки подлинности применяют следующие способы:

механизм запроса-ответа;

механизм отметки времени ("временной штемпель").

Механизм запроса-ответа. Если пользователь A хочет быть уверен, что сообщения, получаемые им от пользователя B, не являются ложными, он включает в посылаемое для B сообщение непредсказуемый элемент - запрос X (например, некоторое случайное число). При ответе пользователь B должен выполнить над этим числом некоторую заранее оговоренную операцию (например, вычислить некоторую функцию f(X)). Это невозможно осуществить заранее, так как пользователю B неизвестно, какое случайное число X придет в запросе. Получив ответ с результатом действий B, пользователь A может быть уверен, что B - подлинный. Недостаток этого метода - возможность установления закономерности между запросом и ответом.

Механизм отметки времени подразумевает регистрацию времени для каждого сообщения. В этом случае каждый пользователь сети может определить насколько "устарело" пришедшее сообщение и не принимать его, поскольку оно может быть ложным.

В обоих случаях для защиты механизма контроля следует применять шифрование, чтобы быть уверенным, что ответ послан не злоумышленником.

При использовании отметок времени возникает проблема допустимого временного интервала задержки для подтверждения подлинности сеанса. Ведь сообщение с "временным штемпелем" в принципе не может быть передано мгновенно. Кроме того, компьютерные часы получателя и отправителя не могут быть абсолютно синхронизированы.

Для взаимной проверки подлинности обычно используют процедуру "рукопожатия", которая базируется на указанных выше механизмах и заключается во взаимной проверке ключей, используемых сторонами. Иначе говоря, стороны признают друг друга законными партнерами, если докажут друг другу, что обладают правильными ключами. Процедуру "рукопожатия" применяют в компьютерных сетях при организации связи между пользователями, пользователем и хост-компьютером, между хост-компьютерами и т.д.

В качестве примера рассмотрим процедуру "рукопожатия" для двух пользователей A и B. Пусть применяется симметричная криптосистема. Пользователи A и B разделяют один и тот же секретный ключ KAB.

Пользователь A инициирует "рукопожатие", отправляя пользователю B свой идентификатор IDA в открытой форме.

Пользователь B, получив идентификатор IDA, находит в базе данных секретный ключ KAB и вводит его в свою криптосистему.

Тем временем пользователь A генерирует случайную последовательность S с помощью псевдослучайного генератора PG и отправляет ее пользователю B в виде криптограммы EKAB(S).

Пользователь B расшифровывает эту криптограмму и раскрывает исходный вид последовательности S.

Затем оба пользователя преобразуют последовательность S, используя одностороннюю функцию f.

Пользователь B шифрует сообщение f(S) и отправляет криптограмму EKAB(f(S)) пользователю A.

Наконец, пользователь A расшифровывает эту криптограмму и сравнивает полученное сообщение f'(S) с исходным f(S). Если эти сообщения равны, то пользователь A признает подлинность пользователя B.

Пользователь A проверяет подлинность пользователя B таким же способом. Обе эти процедуры образуют процедуру "рукопожатия", которая обычно выполняется в самом начале любого сеанса связи между любыми двумя сторонами в компьютерных сетях.

Достоинством модели "рукопожатия" является то, что ни один из участников связи не получает никакой секретной информации во время процедуры подтверждения подлинности.

Иногда пользователи хотят иметь непрерывную проверку подлинности отправителей в течение всего сеанса связи. Рассмотрим один из простейших способов непрерывной проверки подлинности.

Чтобы отправить сообщение M, пользователь A передает криптограмму EK(IDA, M). Получатель расшифровывает ее и раскрывает пару (IDA, M). Если принятый идентификатор IDA совпадает с хранимым, получатель принимает во внимание это сообщение.

Программы от несанкционированного доступа

Здесь мы кратно рассмотрим 3 программы, с помощью которых возможно защитить свои данные он несанкционированного доступа.

CryptoExpert

CryptoExpert 2008 Professional (рис. 7) от компании SecureAction-- это программа для шифрования данных в режиме реального времени на компьютере. Она совместима с операционными системами семестваWindows, включая WindowsVista 32-bit и 64-bit. (приложение рис. 3)

Программа CryptoExpert 2008 Professional позволяет создавать виртуальные логические диски (контейнеры), в которых информация сохраняется в зашифрованном виде. CryptoExpertсуществуютвдвухвариантах: CryptoExpert 2007 Lite иCryptoExpert 2008 Professional. Программа CryptoExpert 2007 Lite является бесплатной и отличается от CryptoExpert 2008 Professional урезанной функциональностью. В частности, в CryptoExpert 2007 Lite размер виртуального контейнера составляет 50 Мбайт, тогда как в программе CryptoExpert 2008 Professional он ограничен лишь свободным пространством на жестком диске. Еще одно различие между версиями заключается в том, что в программе CryptoExpert 2007 Lite используется только один алгоритм шифрования -- CAST 128 bit, а в программе CryptoExpert 2008 Professional поддерживаются четыре типа шифрования: AES (256 bit), CAST (128 bit), Blowfish (448 bit) и 3DES (168 bit). Есть и другие различия, однако, чтобы понять, о чем идет речь, необходимо научиться работать с программой.

К сожалению, описание к программе (файл помощи) на русском языке отсутствует, да и интерфейс только английский, к тому же его нельзя назвать простым и интуитивно понятным -- прежде чем воспользоваться этой программой, придется изучить инструкцию.

Если кратко, то основные принципы работы с программой следующие. Сначала создаются виртуальные контейнеры, для каждого из которых устанавливается размер, выбирается алгоритм шифрования и задается пароль (рис. 8). Контейнер может находиться в двух состояниях: подключенном и отключенном. С подключенным контейнером можно работать как с обычным логическим диском. Естественно, что для подключения контейнера необходимо знать пароль. В программе CryptoExpert 2008 Professional одновременно можно подключать неограниченное число контейнеров, а в программе CryptoExpert 2007 Lite поддерживается только один подключенный контейнер. Кроме того, версия CryptoExpert 2008 Professional поддерживает работу с USB-носителями, а также возможность создавать и подключать контейнеры, созданные на общих ресурсах локальной сети. (приложение рис 4)

Программа также позволяет удалять файлы без возможности их восстановления. Причем поддерживается невосстанавливаемое удаление файлов как из логических контейнеров, так и из обычных папок.

Из недостатков программы CryptoExpert 2008 отметим нестабильность ее в работе. Мы тестировали программу с операционной системой WindowsVista 32-bit, и она частенько зависала.

Графическое оформление программы представлено в приложении

FineCrypt

Утилита FineCrypt предназначена для шифрования данных с целью их дальнейшего безопасного хранения на компьютере или передачи через Интернет. Она поддерживает только английский язык и совместима со всеми операционными системами семейства Windows. С сайта компании можно скачать бесплатную демо-версию программы, которая отличается от полной версии урезанной функциональностью. К сожалению, толковое описание к программе типа «Howto…» отсутствует (даже на английском языке), поэтому осваивать утилиту придется методом проб и ошибок. Но ничего сложного в этом нет. После инсталляции на ПК программа интегрируется в оболочку Windows и в контекстном меню появляется соответствующий пункт (рис. 9). После этого достаточно выделить мышкой любой файл, щелкнуть по нему правой кнопкой мыши и, выбрав соответствующий пункт меню, зашифровать или расшифровать файл. (приложение рис. 5)

Программа FineCrypt поддерживает шифрование как отдельных файлов, так и целых папок. При этом поддерживается как симметричное шифрование с использованием пароля, так и шифрование с помощью секретных ключей. Кроме того, поддерживается асимметричное шифрование на основе публичного и секретного ключей.

Дляшифрованияможноприменятьследующиеалгоритмы: AES (256 bit), Blowfish (576 bit), CAST (256 bit), GOST (256 bit), Square (128 bit), Mars (448 bit), RC-6 (2040 bit), Serpent (256 bit), TripleDES (192 bit) иTwofish (256 bit) (приложение рис. 6)

В случае симметричного шифрования при наборе пароля, который программно преобразуется в ключ шифрования нужной длины, специальный индикатор напомнит о стойкости вводимого пароля (чем длиннее пароль, тем лучше) -(приложение рис. 7)

Если требуется обеспечить наивысший уровень безопасности данных, то вместо пароля рекомендуется применять секретный ключ. Программа FineCrypt позволяет генерировать и сохранять секретные ключи шифрования (рис. 12). Кроме того, при генерации секретного ключа пользователь может полностью управлять вектором инициализации ключа (IV-вектор). Напомним, что вектор инициализации не является секретной информацией и используется для реализации блочного алгоритма шифрования. В программе FineCrypt вектор инициализации ключа шифрования сохраняется вместе с ключом, а не в зашифрованном файле. (приложение рис. 8)

Кроме генерирования ключа и вектора инициализации ключа программа FineCrypt позволяет создавать ключ и вектор инициализации вручную.

Программа FineCrypt также поддерживает использование асимметричного RSA-шифрования на основе публичного и секретного (частного) ключей. Напомним, что асимметричное шифрование применяется при необходимости передачи информации в зашифрованном виде другим пользователям. При этом информация шифруется с помощью публичного ключа, а расшифровать ее можно, только имея секретный ключ. Программа FineCrypt позволяет генерировать пары ключей, публичный и секретный (рис. 13), а также отсылать другим пользователям (или получать от них) публичные ключи. Для простоты управления секретным и публичным ключами при их генерации осуществляется привязка к имени пользователя и его почтовому адресу. Кроме того, секретный ключ защищается паролем. Сгенерированный публичный ключ можно отправить по почте другому пользователю.(приложение рис. 9)

Как и большинство программ, предназначенных для обеспечения конфиденциальности данных, утилита FineCrypt позволяет не просто удалять файлы, а удалять их без возможности дальнейшего восстановления в соответствии со стандартом DoD 5200.28-STD (стандарт Министерства обороны США).

Ну и последнее, о чем хотелось бы упомянуть, -- это возможность создания самораспаковывающихся зашифрованных архивов. В этом случае расшифровать данные можно даже на компьютере, где программа FineCrypt не установлена.

DekartPrivateDisk 2.10

Программа DekartPrivateDisk 2.10 от компании Dekart (www.dekart.com) -- это разработка молдавских программистов. Она совместима с операционными системами семейства Windows, включая WindowsVista 32 bit и 64 bit.

Стоимость программы DekartPrivateDisk 2.10 составляет 45 долл., а на сайте производителя можно скачать ее ознакомительную полнофункциональную 30-дневную версию.Отметим, что с сайта производителя можно загрузить программу с русскоязычным интерфейсом, причем на русском языке написана и подробная инструкция по ее использованию.

Итак, программа DekartPrivateDisk 2.10 предназначена для шифрования информации с целью ее безопасного хранения на компьютере или на съемных носителях (рис. 18). Она позволяет создавать виртуальные логические диски (контейнеры), в которых информация сохраняется в зашифрованном виде. С виртуальными логическими дисками можно работать точно так же, как и с обычными. Виртуальный зашифрованный диск представляет собой обычный файл -- так называемый файл-образ диска. Файл-образ виртуального зашифрованного диска может иметь любые имя, расширение и путь доступа (даже сетевой).(приложение рис. 10)

Работа с программой начинается с создания виртуального контейнера, для которого необходимо указать размер и местоположение файла-образа, а также задать пароль доступа. Минимальный размер виртуального диска -- 1 Мбайт, а максимальный -- 1 Tбайт (для ОС Windows NT/2000/XP/2003/Vista).

Каждый созданный контейнер может находиться в двух состояниях: подключенном (смонтированном) и отключенном (демонтированном). При смонтированном состоянии контейнера с ним можно работать как с обычным логическим диском. Естественно, для подключения контейнера необходимо знать пароль.

После того как виртуальный контейнер создан и смонтирован, зашифровать данные очень просто -- надо лишь перенести их на новый логический диск. В программе DekartPrivateDisk 2.10 используется алгоритм шифрования AES с длиной ключа 256 бит.

Нужно отметить, что программа DekartPrivateDisk 2.10 обладает очень широкими возможностями по настройке, а также разнообразными дополнительными функциями (приложение рис. 11)

Среди возможностей по настройке отметим назначение горячих клавиш и иконок, создание списка программ, которым разрешен доступ к виртуальному диску, и списка программ, которые автоматически запускаются при подключении (монтировании) и отключении (размонтировании) виртуального диска.

Кроме того, в программе DekartPrivateDisk 2 предусмотрена возможность создания резервной копии виртуального диска и зашифрованной резервной копии ключа шифрования. Можно даже попытаться восстановить забытый пароль к виртуальному диску, используя для этого метод перебора возможных комбинаций символов пароля. При попытке восстановления пароля возможно задание набора символов и указание длины пароля. Хотя, конечно, если пароль забыт, то пытаться восстановить его -- дело безнадежное, поэтому данная функция скорее демонстрирует надежность защиты, нежели имеет практическое значение.



Приложение

Рис. 1

Рис. 2

Рис. 3

Рис. 4



Рис. 5

Рис. 6



Рис. 7

Рис. 8

Рис. 9



Рис. 10

Рис. 11

Размещено на Allbest.ru

...