Открыть Электронные книги
Категории
Открыть Аудиокниги
Категории
Открыть Журналы
Категории
Открыть Документы
Категории
ФЕДЕРАЛЬНОЕ ГОСУДАРСТВЕННОЕ
КАЗЕННОЕ ОБРАЗОВАТЕЛЬНОЕ УЧРЕЖДЕНИЕ
ВЫСШЕГО ПРОФЕССИОНАЛЬНОГО ОБРАЗОВАНИЯ
«ВОСТОЧНО-СИБИРСКИЙ ИНСТИТУТ МИНИСТЕРСТВА
ВНУТРЕННИХ ДЕЛ РОССИЙСКОЙ ФЕДЕРАЦИИ»
Учебное пособие
Иркутск
ББК 32.973.Р69
УДК 681.322
Рецензенты:
- А.В.Синицин, доктор физико-математических наук,
- Л.В.Аршинский, доктор технических наук.
2
Оглавление
ВВЕДЕНИЕ.......................................................................................................................................... 4
1. Основные понятия информационной безопасности органов
внутренних дел.............................................................................................................................. 5
1.1. Информационные отношения. Субъекты информационных отношений и их
безопасность...................................................................................................................................8
1.2. Требования к защищенности информации....................................................................10
1.3. Средства обеспечения безопасности информации.......................................................14
1.4. Характеристика средств защиты информации.............................................................15
1.5. Достоинства и недостатки средств защиты информации...........................................16
1.6. Пути повышения уровня защищенности информации в ИС......................................17
1.7. Информационная сфера и информационная безопасность органов внутренних
дел...................................................................................................................................................18
3
4.5. Защита информации криптографическими методами................................................65
4.5.1. Основные понятия и определения...................................................................................... 66
4.5.2. Криптография и шифрование................................................................................................ 68
4.5.3. Алгоритмы шифрования........................................................................................................... 72
5. Защита информации в телекоммуникационных системах....................83
5.1. Секретное, конфиденциальное делопроизводство......................................................83
5.2. Электронная цифровая подпись (ЭЦП)............................................................................87
5.3. Стеганографические средства защиты информации...................................................89
5.4. ЕИТСК ОВД МВД России.......................................................................................................95
ЗАКЛЮЧЕНИЕ................................................................................................................................ 97
ВВЕДЕНИЕ
4
основанных на компьютерной обработке, хранении, передаче и поиске
информации. Происходит интенсивное внедрение таких технологий и в
сферу информационного обеспечения органов внутренних дел. Несмотря на
огромные преимущества новых информационных технологий у них имеется
один существенный недостаток – информация, хранящаяся, на
компьютерных цифровых носителях информации и передающаяся по
компьютерным и телекоммуникационным сетям является более уязвимой по
сравнению с традиционными способами хранения и передачи информации. В
этих условиях обеспечение информационной безопасности вообще и в
органах внутренних дел в частности становится ещё более актуальной
задачей.
5
информационной безопасности является актуальной и практически значимой
задачей.
Одним из базовых понятий курса является понятие «информация».
Федеральный закон «Об информации, информационных технологиях и
защите информации» даёт следующую трактовку этого понятия.
Информация – сведения (сообщения, данные) независимо от формы
их представления.
Информация может существовать в различных формах в виде
совокупностей знаков (символов, сигналов и т.п.) на носителях различных
типов.
В связи с бурным процессом информатизации общества все большие
объемы информации накапливаются, хранятся и обрабатываются в
компьютеризированных информационных системах (ИС).
Информационная система – совокупность содержащейся в базах
данных информации и обеспечивающих ее обработку информационных
технологий и технических средств.
Состав информационной системы:
1) технические средства обработки и передачи данных;
2) методы и алгоритмы обработки в виде программного обеспечения;
3) информация на различных носителях;
4) персонал и пользователи системы.
Информационные технологии – процессы, методы поиска, сбора,
хранения, обработки, предоставления, распространения информации и
способы осуществления таких процессов и методов.
Информация может являться объектом публичных, гражданских и
иных правовых отношений. Информация может свободно использоваться
любым лицом и передаваться одним лицом другому лицу, если
федеральными законами не установлены ограничения доступа к
информации, либо иные требования к порядку ее предоставления или
распространения.
Информация в зависимости от категории доступа к ней подразделяется
на общедоступную информацию, а также на информацию, доступ к которой
ограничен федеральными законами (информация ограниченного доступа).
Информация в зависимости от порядка ее предоставления или
распространения подразделяется на:
1) информацию, свободно распространяемую;
2) информацию, предоставляемую по соглашению лиц, участвующих в
соответствующих отношениях;
3) информацию, которая в соответствии с федеральными законами подлежит
предоставлению или распространению;
4) информацию, распространение которой в Российской Федерации
ограничивается или запрещается.
Законодательством Российской Федерации могут быть установлены
виды информации в зависимости от ее содержания или обладателя.
Некоторые основные особенности компьютеризации, требующие
6
своего учета при создании и эксплуатации систем защиты информации:
увеличение объемов информации, накапливаемой, хранимой,
обрабатываемой и передаваемой с помощью компьютерной техники;
сосредоточение в единых базах данных информации различной
принадлежности и назначения;
расширение круга пользователей, имеющих доступ к ресурсам ИС и
находящимся в них массивам данных;
усложнение режимов функционирования технических средств
вычислительной системы: широкое внедрение многопрограммного
режима, режима разделения времени;
автоматизация межмашинного обмена информацией, в том числе и на
больших расстояниях;
увеличение количества технических средств и связей в
автоматизированных системах управления и обработки данных;
доступность персональных компьютеров, расширяющих возможности не
только пользователя, но и потенциального нарушителя.
Приведём ряд основных понятий, используемых при рассмотрении
вопросов, связанных с защитой информации.
Доступ к информации – возможность получения информации и ее
использования.
Несанкционированный доступ (НСД) – доступ к объекту системы с
нарушением правил разграничения доступа.
Конфиденциальность информации – обязательное для выполнения
лицом, получившим доступ к определенной информации, требование не
передавать такую информацию третьим лицам без согласия ее обладателя.
Документированная информация – зафиксированная на
материальном носителе путем документирования информация с реквизитами,
позволяющими определить такую информацию или в установленных
законодательством Российской Федерации случаях ее материальный
носитель.
Защита информации – комплекс правовых, организационных и
технических мер, направленных на:
обеспечение защиты информации от неправомерного доступа,
уничтожения, модифицирования, блокирования, копирования,
предоставления, распространения, а также от иных неправомерных
действий в отношении такой информации;
соблюдение конфиденциальности информации ограниченного доступа;
реализацию права на доступ к информации.
Правилами разграничения доступа (ПРД) – совокупность правил,
регламентирующих права доступа субъектов доступа к объектам доступа.
К объектам доступа относятся её пассивные компоненты, единицы
ресурсов (в их число входят, например, периферийные устройства, носители
информации, каталоги, файлы и т.п.), доступ к которым регламентируется
правилами разграничения доступа.
7
Субъектом доступа принято считать активный компонент системы,
действия которого регламентируются правилами разграничения доступа. К
субъектам можно отнести пользователя, процессы, проходящие в системе,
программы.
8
авторских прав, прав собственника информации и т.п.);
разграничения ответственности за нарушения законных прав (интересов)
других субъектов информационных отношений и установленных правил
обращения с информацией;
возможности осуществления непрерывного контроля и управления
процессами обработки и передачи информации.
Будучи заинтересованным в обеспечении хотя бы одного из
вышеназванных требований, субъект информационных отношений является
уязвимым, то есть потенциально подверженным нанесению ему ущерба
(прямого или косвенного, материального или морального) посредством
воздействия на важную для него информацию и её носители, либо
посредством неправомерного использования такой информации. Поэтому все
субъекты информационных отношений заинтересованы в обеспечении своей
информационной безопасности.
Для обеспечения информационной безопасности субъектов
необходимо постоянно поддерживать следующие свойства компонентов
системы: конфиденциальность, целостность, доступность.
Конфиденциальность компонента системы заключается в том, что он
доступен только тем субъектам доступа (пользователям, программам,
процессам), которым предоставлены на то соответствующие полномочия.
Целостность компонента системы предполагает, что он может быть
модифицирован только субъектом, имеющим для этого соответствующие
права. Целостность является гарантией корректности (неизменности,
работоспособности) компонента в любой момент времени.
Доступность компонента означает, что имеющий соответствующие
полномочия субъект может в любое время без особых проблем получить
доступ к необходимому компоненту системы.
Поскольку ущерб субъектам информационных отношений может быть
нанесен опосредованно, через определенную информацию и её носители (в
том числе автоматизированные системы обработки), то закономерно
возникает заинтересованность субъектов в обеспечении безопасности этой
информации и систем ее обработки и передачи. Иными словами, в качестве
объектов, подлежащих защите в интересах обеспечения безопасности
субъектов информационных отношений, должны рассматриваться
информация, её носители и информационные технологии.
Всегда следует помнить, что уязвимыми в конечном счете являются
именно заинтересованные в обеспечении определенных свойств информации
и систем ее обработки субъекты (информация, равно как и средства ее
обработки, не имеет своих интересов, которые можно было бы ущемить и
нанести тем самым ущерб). В дальнейшем, говоря об обеспечении
безопасности ИС или циркулирующей в системе информации, всегда следует
понимать под этим косвенное обеспечение безопасности субъектов,
участвующих в процессах автоматизированного информационного
взаимодействия.
В свете сказанного под безопасностью информации нужно понимать
9
ее защищенность от нежелательных для соответствующих субъектов
информационных отношений факторов, к числу которых относят
разглашение информации (т.е. нарушение конфиденциальности), искажение
(преднамеренное нарушение целостности), утрату, снижение степени
доступности информации, незаконное ее тиражирование, копирование или
фальсификацию.
Поскольку субъектам информационных отношений ущерб может быть
нанесен также посредством воздействия на процессы и средства обработки
важной для них информации, то становится очевидной необходимость
обеспечения защиты всей системы обработки и передачи данной
информации от несанкционированного вмешательства в процесс ее
функционирования, а также от попыток хищения, незаконной модификации
и/или разрушения любых компонентов данной системы.
В связи с этим под безопасностью автоматизированной системы
обработки информации (компьютерной системы) понимается защищенность
всех ее компонентов (технических средств, программного обеспечения,
данных и персонала) от всякого рода нежелательных для соответствующих
субъектов информационных отношений воздействий.
Таким образом, конечной целью защиты ИС и циркулирующей в ней
информации является предотвращение или сведение к минимуму наносимого
субъектам информационных отношений ущерба (прямого или косвенного,
материального, морального или иного) посредством нежелательного
воздействия на компоненты ИС, а также разглашения (утечки), искажения
(модификации), утраты (снижения степени доступности) или незаконного
тиражирования информации.
10
успех.
Во многих областях деятельности доля конфиденциальной информации
сравнительно мала. Для коммерческой и персональной информации, равно
как и для государственной информации, не подлежащей засекречиванию,
приоритетность свойств безопасности информации может быть иной. Для
открытой информации, ущерб от разглашения которой несущественен,
важнейшими могут быть такие качества, как доступность, целостность или
защищенность от неправомерного тиражирования. К примеру, для
платёжных (финансовых) документов самым важным является свойство их
целостности (достоверности). Затем, по степени важности, следует свойство
доступности (потеря платёжного документа или задержка платежей может
обойтись очень дорого). Требований к обеспечению конфиденциальности
отдельных платёжных документов может не предъявляться вообще.
Решение вопросов защиты такой информации с позиций обеспечения
только конфиденциальности недостаточно эффективны. Основными
причинами этого являются узость существующего подхода к защите
информации, отсутствие опыта и соответствующих проработок в плане
обеспечения целостности и доступности информации, не являющейся
конфиденциальной.
Развитие системы классификации информации по уровням требований
к её защищенности предполагает введение ряда степеней (градаций)
требований по обеспечению каждого из свойств безопасности информации:
доступности, целостности, конфиденциальности и защищенности от
тиражирования. Пример градаций требований к защищённости: нет
требований; низкие; средние; высокие; очень высокие.
Количество дискретных градаций и вкладываемый в них смысл могут
различаться. Главное, чтобы требования к защищённости различных свойств
информации указывались отдельно и достаточно конкретно исходя из
серьёзности возможного наносимого субъектам информационных отношений
ущерба от нарушения каждого из свойств безопасности информации.
В России подобные материалы появились в 1992 году, когда
Государственная техническая комиссия (ГТК) при Президенте Российской
Федерации подготовила пять базовых документов, посвященных вопросам
защиты информации:
1) «Концепция защиты средств вычислительной техники от
несанкционированного доступа к информации»,
2) «Средства вычислительной техники. Защита от несанкционированного
доступа к информации. Показатели защищенности от
несанкционированного доступа к информации»,
3) «Автоматизированные системы. Защита от несанкционированного
доступа к информации. Классификация автоматизированных систем и
требования по защите информации»,
4) «Временное положение по организации разработки, изготовления и
эксплуатации программных технических средств защиты информации от
несанкционированного доступа в автоматизированных системах и
11
средствах вычислительной техники»,
5) «Защита от несанкционированного доступа к информации. Термины и
определения».
В период с 1997 по 1999 год появилось ещё четыре документа:
1) «Средства вычислительной техники. Межсетевые экраны. Защита от
несанкционированного доступа к информации. Показатели защищенности
от несанкционированного доступа к информации»,
2) «Защита информации. Специальные защитные знаки. Классификация и
общие требования»,
3) «Защита информации в контрольно-кассовых машинах и
автоматизированных кассовых системах. Классификация контрольно-
кассовых машин, автоматизированных кассовых систем и требования по
защите информации» и
4) «Защита от несанкционированного доступа к информации. Программное
обеспечение средств защиты информации Классификация по уровню
контроля отсутствия недекларированных возможностей».
В перечисленных документах предлагаются две группы критериев
безопасности: показатели защищенности средств вычислительной техники
(СВТ) от НСД и критерии защищенности ИС.
В соответствии с указанными выше документами установлено семь
классов защищенности СВТ от НСД. Самые низкие требования
предъявляются к системам, соответствующим седьмому классу, самые
высокие – к первому. Среди требований к защищенности СВТ можно
выделить такие, как:
надежное восстановление,
контроль модификации,
очистка памяти,
идентификация и аутентификация,
защита ввода и вывода на отчужденный физический носитель
информации и т.д.
Выбор класса защищенности СВТ для автоматизированных систем,
создаваемых на базе защищенных СВТ, зависит от грифа секретности
обрабатываемой в ИС информации, условий эксплуатации и расположения
объектов системы. Работы по защите СВТ должны производиться в
соответствии с Указом Президента Российской Федерации «О мерах по
соблюдению законности в области разработки, производства, реализации и
эксплуатации шифровальных средств, а также предоставления услуг в
области шифрования информации», постановлениями Правительства России
«О лицензировании деятельности предприятий, учреждений и организаций
по проведению работ, связанных с использованием сведений, составляющих
государственную тайну, созданием средств защиты информации, а также с
осуществлением мероприятий и (или) оказанием услуг по защите
государственной тайны», «О лицензировании деятельности по технической
защите конфиденциальной информации», «О лицензировании деятельности
12
по разработке и (или) производству средств защиты конфиденциальной
информации», «Временным положением по организации разработки,
изготовления и эксплуатации программных и технических средств защиты
информации от несанкционированного доступа в автоматизированных
системах и средствах вычислительной техники» и другими документами.
Для ИС документы ГТК устанавливают девять классов защищенности
от НСД, каждый из которых характеризуется определенной совокупностью
требований к средствам защиты. Классы подразделяются на три группы,
состав которых определяется на основании следующих признаков:
1) наличие в ИС информации различного уровня конфиденциальности;
2) уровень полномочий пользователей ИС на доступ к конфиденциальной
информации;
3) режим обработки данных в ИС (коллективный или индивидуальный).
В пределах каждой группы соблюдается иерархия классов
защищенности ИС. Класс, соответствующий высшей степени защищенности
для данной группы обозначается индексом NA, где N – номер группы от 1 до
3. Следующий класс обозначается NБ и т.д.
Первая группа включает в себя многопользовательские ИС,
обрабатывающие или хранящие информацию разных уровней
конфиденциальности. Пользователи при этом имеют разные права доступа.
Эта группа содержит пять классов – 1Д, 1Г, 1В, 1Б и 1А.
Вторую группу составляют классы 2Б и 2А. Сюда относятся ИС, в
которых пользователи имеют одинаковые полномочия доступа ко всей
информации, обрабатываемой или хранимой в системе на носителях
различного уровня конфиденциальности.
К третьей группе относят ИС, в которых работает один пользователь,
допущенный ко всей информации, размещенной на носителях одного уровня
конфиденциальности. Сюда относятся два класса – 3Б и 3А.
Самые высокие требования предъявляются к классу 1А.
Каждый класс характеризуется определенной минимальной
совокупностью требований по защите. Наиболее характерными
требованиями к перечисленным классам защищенности ИС являются
следующие:
1) проверка подлинности и контроль доступа субъектов к терминалам,
компьютерам, узлам сети, внешним устройствам и программам,
2) учет носителей информации,
3) сигнализация попыток нарушения защиты,
4) шифрование конфиденциальной информации,
5) использование сертифицированных средств защиты,
6) обеспечение целостности программных средств и обрабатываемой
информации,
7) физическая охрана СВТ и носителей информации и т.д.
Классификация распространяется на все действующие и
проектируемые ИС учреждений, организаций и предприятий,
обрабатывающие конфиденциальную информацию.
13
1) Узкая направленность руководящих документов на системы
военного применения обусловили такие их недостатки, как отсутствие
требований к защите от угроз работоспособности, ориентация на
противодействие от НСД. Политика безопасности трактуется исключительно
как поддержание секретности и отсутствие НСД. По этой причине к
структуре самой системы и ее функционированию не предъявляется никаких
требований, определяющих защиту информации в более широком смысле.
14
(физические и аппаратные) и программные средства.
К неформальным относятся средства, основу содержания которых
составляет целенаправленная деятельность людей. Сюда можно отнести
правовые (законодательные), морально-этические, организационные
(административные) средства.
15
законы, указы и нормативные акты, регламентирующие правила обращения с
информацией, закрепляющие права и обязанности участников
информационных отношений в процессе ее обработки и использования, а
также устанавливающие ответственность за нарушения этих правил,
препятствуя тем самым неправомерному использованию информации и
являющиеся сдерживающим фактором для потенциальных нарушителей.
К морально-этическим средствам противодействия относятся нормы
поведения, которые традиционно сложились или складываются по мере
информатизации общества. Эти нормы большей частью не являются
обязательными, как законодательно утвержденные нормативные акты,
однако, их несоблюдение ведет обычно к падению авторитета, престижа
человека, группы лиц или организации. Морально-этические нормы бывают
как неписаные (например, общепризнанные нормы честности, патриотизма и
т.п.), так и писаные, то есть оформленные в некоторый свод (устав) правил
или предписаний.
Только комплексное использование различных защитных мероприятий
может обеспечить надежную защиту, так как каждый прием или метод имеет
свои слабые и сильные стороны. Так, организационные меры обеспечивают
исполнение существующих нормативных актов и строятся с учетом
существующих правил поведения, принятых в стране и/или организации.
Воплощение организационных мер требует создания нормативных
документов. Для эффективного применения организационные меры должны
быть поддержаны физическими и техническими средствами. Применение и
использование технических средств защиты требует соответствующей
организационной поддержки.
Программные средства
К несомненным достоинствам программных средств защиты
информации следует отнести универсальность, гибкость, надежность
функционирования, простоту реализации, широкие возможности
16
модификации и развития.
Из недостатков выделяют такие как: снижение функциональных
возможностей ИС, необходимость использования запоминающих устройств
ИС, подверженность случайным или закономерным модификациям,
ориентация на вполне определенные типы ЭВМ.
Организационные средства
Очевидно, что в организационных структурах с низким уровнем
правопорядка, дисциплины и этики ставить вопрос о защите информации
просто бессмысленно. Прежде всего, надо решить правовые и
организационные вопросы. Благодаря таким своим достоинствам как
простота реализации, гибкость реагирования на несанкционированные
действия, практически неограниченные возможности изменения и развития,
широкий круг решаемых задач, организационные средства - это
единственное, что остается, когда другие методы и средства защиты
отсутствуют или не могут обеспечить требуемый уровень безопасности.
Однако это вовсе не означает, что систему защиты необходимо строить
исключительно на их основе, как это часто пытаются сделать чиновники,
далекие от технического прогресса.
Этим средствам присущи серьезные недостатки, такие как: низкая
надежность без соответствующей поддержки физическими, техническими и
программными средствами (люди склонны к нарушению любых
установленных дополнительных ограничений и правил, если только их
можно нарушить), дополнительные неудобства, связанные с большим
объемом рутинной формальной деятельности, повышенная зависимость от
субъективных факторов, высокая зависимость от общей организации работ
на объекте.
Организационные меры необходимы для обеспечения эффективного
применения других мер и средств защиты в части, касающейся
регламентации действий людей. В то же время организационные меры
необходимо поддерживать более надежными физическими и аппаратными
средствами.
17
Рассмотрим известное утверждение о том, что создание абсолютной (то
есть идеально надежной) системы защиты на практике принципиально
невозможно.
Даже при допущении возможности создания абсолютно надежных
физических и технических средств защиты, перекрывающих все каналы,
которые необходимо перекрыть, всегда остается возможность воздействия на
персонал системы, осуществляющий необходимые действия по обеспечению
корректного функционирования этих средств (администратора ИС,
администратора безопасности и т.п.). Вместе с самими средствами защиты
эти люди образуют так называемое «ядро безопасности». В этом случае,
стойкость системы безопасности будет определяться стойкостью персонала
из ядра безопасности системы, и повышать ее можно только за счет
организационных (кадровых) мероприятий, законодательных и морально-
этических мер. Но, даже имея совершенные законы и проводя оптимальную
кадровую политику, все равно проблему защиты до конца решить не удастся.
Во-первых, потому, что вряд ли удастся найти персонал, в котором можно
было быть абсолютно уверенным, и в отношении которого невозможно было
бы предпринять действий, вынуждающих его нарушить запреты. Во-вторых,
даже абсолютно надежный человек может допустить случайное,
неумышленное нарушение.
18
повышается надежность новых средств. На сегодняшний день в ОВД
действуют комплексы защиты как речевой, так и компьютерной информации
отечественного производства.
В зависимости от формы и содержания различают внешние и
внутренние угрозы объектам технической защиты информации.
Внешняя безопасность включает защиту от стихийных бедствий
(пожар, наводнение и т.п.), от проникновения в систему злоумышленников
извне с целью хищения, получения доступа к информации или вывода
системы из строя.
Применительно к органам внутренних дел к внешним угрозам можно
отнести деятельность иностранных разведок, преступных сообществ,
отдельных лиц, а также коммерческих и некоммерческих предприятий и
организаций, которые имеют возможность осуществления
несанкционированного доступа к информации в любой форме.
К внешним угрозам относят также воздействие вредоносных программ,
действия которых направлены на нарушение работоспособности ИС.
Обеспечение внутренней безопасности ИС фокусируется на создании
надежных и удобных механизмов регламентации деятельности всех ее
законных пользователей и обслуживающего персонала для принуждения их к
безусловному соблюдению установленной в организации дисциплины
доступа к ресурсам системы (в том числе к информации). К внутренней
безопасности также относят обучение пользователей с обязательной
проверкой знаний, различные организационные мероприятия и т.д.
Среди внутренних угроз объектам технической защиты информации
выделяют такие, как утечка информации по каналам, связанным с работой
технических устройств и программного обеспечения, а также утечка
информации по каналам, связанным с действиями людей, что может быть
обусловлено невыполнением комплекса требуемых организационных и
технических мер по защите информации на объектах информатизации.
Появление технического канала утечки информации зависит от ее вида.
Среди них можно выделить группу каналов, которые связаны с речевой
информацией и информацией, обрабатываемой компьютерными системами:
1) электромагнитные излучения от технических средств и линий передачи
информации (например, излучение монитора, принтера или дисководов);
2) просмотр и копирование информации с экранов дисплеев с помощью
оптических средств;
3) сигналы, обусловленные воздействием на технические средства
высокочастотных сигналов разведывательной аппаратуры;
4) специальные электронные устройства перехвата информации
(«закладки»);
5) акустическое излучение речевого сигнала или сигнала, вызванного
работой технических средств обработки информации (например, телетайп,
принтер);
6) вибрационные сигналы, которые возникают при преобразовании из
акустического при воздействии его на строительные конструкции и
19
инженерно-технические коммуникации помещений.
Более подробно и конкретно различные аспекты обеспечения
информационной безопасности органов внутренних дел планируется
рассмотреть в рамках других тем дисциплины.
20
автоматизированные системы её обработки и передачи.
В арсенале специалистов по информационной безопасности имеется
широкий спектр защитных средств: законодательных, морально-этических,
организационных, физических, аппаратных и программных. Все они
обладают своими достоинствами и недостатками, которые необходимо знать
и правильно учитывать при создании систем защиты.
21
и её подсистем, определяются отдельными нормативными правовыми актами
российской Федерации,
Система обеспечения информационной безопасности Российской
Федерации является частью системы обеспечения национальной
безопасности страны. Она строится на основе разграничения полномочий
органов законодательной, исполнительной и судебной власти в данной
сфере, а также предметов ведения федеральных органов государственной
власти и органов государственной власти субъектов Российской Федерации.
Основными элементами организационной основы системы
обеспечения информационной безопасности Российской Федерации
являются: Президент Российской Федерации, Совет Федерации
Федерального Собрания Российской Федерации, Государственная Дума
Федерального Собрания Российской Федерации, Правительство Российской
Федерации, Совет Безопасности Российской Федерации, федеральные
органы исполнительной власти, межведомственные и государственные
комиссии, создаваемые Президентом Российской Федерации и
Правительством Российской Федерации, органы исполнительной власти
субъектов Российской Федерации, органы местного самоуправления, органы
судебной власти, общественные объединения, граждане, принимающие в
соответствии с законодательством Российской Федерации участие в решении
задач обеспечения информационной безопасности Российской Федерации.
Президент Российской Федерации руководит в пределах своих
конституционных полномочий органами и силами по обеспечению
информационной безопасности Российской Федерации; санкционирует
действия по обеспечению информационной безопасности Российской
Федерации; в соответствии с законодательством Российской Федерации
формирует, реорганизует и упраздняет подчиненные ему органы и силы по
обеспечению информационной безопасности Российской Федерации;
определяет в своих ежегодных посланиях Федеральному Собранию
приоритетные направления государственной политики в области
обеспечения информационной безопасности Российской Федерации, а также
меры по реализации настоящей Доктрины.
Палаты Федерального Собрания Российской Федерации на основе
Конституции Российской Федерации по представлению Президента
Российской Федерации и Правительства Российской Федерации формируют
законодательную базу в области обеспечения информационной безопасности
Российской Федерации.
Правительство Российской Федерации в пределах своих полномочий и
с учетом сформулированных в ежегодных посланиях Президента Российской
Федерации Федеральному Собранию приоритетных направлений в области
обеспечения информационной безопасности Российской Федерации
координирует деятельность федеральных органов исполнительной власти и
органов исполнительной власти субъектов Российской Федерации, а также
при формировании в установленном порядке проектов федерального
22
бюджета на соответствующие годы предусматривает выделение средств,
необходимых для реализации федеральных программ в этой области.
Совет Безопасности Российской Федерации проводит работу по
выявлению и оценке угроз информационной безопасности Российской
Федерации, оперативно подготавливает проекты решений Президента
Российской Федерации по предотвращению таких угроз, разрабатывает
предложения в области обеспечения информационной безопасности
Российской Федерации, а также предложения по уточнению отдельных
положений настоящей Доктрины, координирует деятельность органов и сил
по обеспечению информационной безопасности Российской Федерации,
контролирует реализацию федеральными органами исполнительной власти и
органами исполнительной власти субъектов Российской Федерации решений
Президента Российской Федерации в этой области.
Федеральные органы исполнительной власти обеспечивают
исполнение законодательства Российской Федерации, решений Президента
Российской Федерации и Правительства Российской Федерации в области
обеспечения информационной безопасности Российской Федерации; в
пределах своей компетенции разрабатывают нормативные правовые акты в
этой области и представляют их в установленном порядке Президенту
Российской Федерации и в Правительство Российской Федерации.
Межведомственные и государственные комиссии, создаваемые
Президентом Российской Федерации и Правительством Российской
Федерации; решают в соответствии с предоставленными им полномочиями
задачи обеспечения информационной безопасности Российской Федерации.
Органы исполнительной власти субъектов Российской Федерации
взаимодействуют с федеральными органами исполнительной власти по
вопросам исполнения законодательства Российской Федерации, решений
Президента Российской Федерации и Правительства Российской Федерации
в области обеспечения информационной безопасности Российской
Федерации, а также по вопросам реализации федеральных программ в этой
области; совместно с органами местного самоуправления осуществляют
мероприятия по привлечению граждан, организаций и общественных
объединений к оказанию содействия в решении проблем обеспечения
информационной безопасности Российской Федерации; вносят в
федеральные органы исполнительной власти предложения по
совершенствованию системы обеспечения информационной безопасности
Российской Федерации.
Органы местного самоуправления обеспечивают соблюдение
законодательства Российской Федерации в области обеспечения
информационной безопасности Российской Федерации.
Органы судебной власти осуществляют правосудие по делам о
преступлениях, связанных с посягательствами на законные интересы
личности, общества и государства в информационной сфере, и обеспечивают
судебную защиту граждан и общественных объединений, чьи права были
23
нарушены в связи с деятельностью по обеспечению информационной
безопасности Российской Федерации.
24
информатизации и защите информации", Основы законодательства
Российской Федерации об Архивном фонде и архивах, другие
законодательные акты Российской Федерации, а также международные
договоры и соглашения, заключенные или признанные Российской
Федерацией, определяющие права и ответственность граждан, общества и
государства в информационной сфере.
Она определяет важнейшие задачи обеспечения информационной
безопасности Российской Федерации:
реализация конституционных прав и свобод граждан Российской
Федерации в сфере информационной деятельности;
совершенствование и защита отечественной информационной
инфраструктуры, интеграция России в мировое информационное
пространство;
противодействие угрозе развязывания противоборства в
информационной сфере.
Для обеспечения прав граждан в сфере информационных технологий и
решения задач информационной безопасности, сформулированных в
Концепции национальной безопасности РФ, разработаны и продолжают
разрабатываться и совершенствоваться нормативные документы в сфере
информационных технологий.
Основные положения важнейших законодательных актов РФ в области
информационной безопасности и защиты информации:
1. Закон Российской Федерации от 21 июля 1993 года № 5485-1 «О
государственной тайне» с изменениями и дополнениями, внесенными после
его принятия, регулирует отношения, возникающие в связи с отнесением
сведений к государственной тайне, их рассекречиванием и защитой в
интересах обеспечения безопасности Российской Федерации.
В Законе определены следующие основные понятия:
государственная тайна — защищаемые государством сведения в
области его военной, внешнеполитической, экономической,
разведывательной, контрразведывательной и оперативно-розыскной
деятельности, распространение которых может нанести ущерб
безопасности Российской Федерации;
носители сведений, составляющих государственную тайну, —
материальные объекты, в том числе физические поля, в которых
сведения, составляющие государственную тайну, находят свое
отображение в виде символов, образов, сигналов, технических решений и
процессов;
система защиты государственной тайны — совокупность органов
защиты государственной тайны, используемых ими средств и методов
защиты сведений, составляющих государственную тайну, и их носителей,
а также мероприятий, проводимых в этих целях;
доступ к сведениям, составляющим государственную тайну, —
санкционированное полномочным должностным лицом ознакомление
25
конкретного лица со сведениями, составляющими государственную
тайну;
гриф секретности — реквизиты, свидетельствующие о степени
секретности сведений, содержащихся в их носителе, проставляемые на
самом носителе и (или) в сопроводительной документации на него;
средства защиты информации — технические, криптографические,
программные и другие средства, предназначенные для защиты сведений,
составляющих государственную тайну, средства, в которых они
реализованы, а также средства контроля эффективности защиты
информации.
Законом определено, что средства защиты информации должны иметь
сертификат, удостоверяющий их соответствие требованиям по защите
сведений соответствующей степени секретности.
Организация сертификации средств защиты информации возлагается
на Государственную техническую комиссию при Президенте Российской
Федерации, Федеральную службу безопасности Российской Федерации,
Министерство обороны Российской Федерации в соответствии с функциями,
возложенными на них законодательством Российской Федерации.
2. Федеральный закон «Об информации, информационных
технологиях и защите информации» от 27 июля 2006 г. N 149-ФЗ —
является одним из основных базовых законов в области защиты информации,
который регламентирует отношения, возникающие при формировании и
использовании информационных ресурсов Российской Федерации на основе
сбора, накопления, хранения, распространения № предоставления
потребителям документированной информации, а также при создании и
использовании информационных технологий, при защите информации и прав
субъектов, участвующих в информационных процессах и информатизации.
Основными задачами системы защиты информации, нашедшими
отражение в Законе «Об информации, информационных технологиях и
защите информации», являются:
предотвращение утечки, хищения, утраты, несанкционированного
уничтожения, искажения, модификации (подделки),
несанкционированного копирования, блокирования информации и т. п.,
вмешательства в информацию и информационные системы;
сохранение полноты, достоверности, целостности информации, ее
массивов и программ обработки данных, установленных собственником
или уполномоченным им лицом;
сохранение возможности управления процессом обработки,
пользования информацией в соответствии с условиями, установленными
собственником или владельцем информации;
обеспечение конституционных прав граждан на сохранение личной
тайны и конфиденциальности персональной информации, накапливаемой
в банках данных;
26
в сохранение секретности или конфиденциальности информации в
соответствии с правилами, установленными действующим
законодательством и другими законодательными или нормативными
актами;
соблюдение прав авторов программно-информационной продукции,
используемой в информационных системах.
В соответствии с законом
информационные ресурсы делятся на государственные и
негосударственные (ст. 6, ч. 1).
государственные информационные ресурсы являются открытыми и
общедоступными. Исключение составляет документированная
информация, отнесенная законом к категории ограниченного доступа (ст.
10, ч. 1);
документированная информация с ограниченного доступа по условиям
ее правового режима подразделяется на информацию, отнесенную к
государственной тайне, и конфиденциальную (ст. 10, ч. 2).
Закон определяет пять категорий государственных информационных
ресурсов:
1) открытая общедоступная информация во всех областях знаний и
деятельности;
2) информация с ограниченным доступом;
3) информация, отнесенная к государственной тайне;
4) конфиденциальная информация;
5) персональные данные о гражданах (относятся к категории
конфиденциальной информации, но регламентируются отдельным
законом).
Статья 22 Закона «Об информации, информационных технологиях и
защите информации» определяет права и обязанности субъектов в области
защиты информации. В частности, пункты 2 и 5 обязывают владельца
информационной системы обеспечивать необходимый уровень защиты
конфиденциальной информации и оповещать собственников
информационных ресурсов о фактах нарушения режима защиты
информации.
При разработке и использовании законодательных и других правовых и
нормативных документов, а также при организации защиты информации
важно правильно ориентироваться во всем блоке действующей
законодательной базы в этой области.
Проблемы, связанные с правильной трактовкой и применением
законодательства Российской Федерации, периодически возникают в
практической работе по организации защиты информации от ее утечки по
техническим каналам, от несанкционированного доступа к информации и от
воздействий на нее при обработке в технических средствах информатизации,
а также в ходе контроля эффективности принимаемых мер защиты.
27
2.2. Информация как объект гражданских прав. Основные термины
и понятия, определенные законодательством.
28
В Законе указано, что он является элементом законодательства России
об авторском праве и смежных правах наряду с другими актами, в том числе
законом "О правовой охране программ".
Здесь повторяется и уточняется ряд формулировок Закона "О
правовой охране программ", разграничивающих авторские права на
программы и базы данных и смежные права. Согласно Закону правовая
охрана программ для ЭВМ распространяется на все виды программ ( в том
числе на операционные системы), которые могут быть выражены на любом
языке и в любой форме, включая исходный текст и объектный код.
Оговорены случаи свободного воспроизведения программ и баз данных.
Свободное воспроизведение допускается при условии правомерного
владения экземпляром программы или БД в случаях:
0* исправления явных ошибок,
1* при внесении изменений исключительно в целях функционирования на
средствах пользователя,
2* изготовления архивной копии.
Целью принятия закона РФ "О государственной тайне" (№ 5485-1 от
21.07.93 г.), стало регулирование отношений, возникающих в связи с
отнесением сведений к государственной тайне, их засекречиванием или
рассекречиванием и защитой в интересах обеспечения безопасности
Российской Федерации.
В Законе имеется ряд важных терминов, раскрывающих природу этих
специальных информационных отношений. В частности, под
государственной тайной законом понимаются защищаемые государством
сведения в области его военной, внешнеполитической, экономической,
разведывательной, контрразведывательной и оперативно-розыскной
деятельности, распространение которых может нанести ущерб
безопасности РФ.
Важным понятием является определение носителей сведений,
составляющих государственную тайну. Это материальные объекты, в том
числе физические поля, в которых сведения, составляющие государственную
тайну, находят свое отображение в виде символов, образов, сигналов,
технических решений и процессов. Из определения видно, что Закон
рассматривает физические поля, как материализованную субстанцию и как
носитель информации или совокупность сигналов, передающих ее.
К средствам защиты информации отнесены технические,
криптографические, программные и другие средства, предназначенные для
защиты сведений, составляющих государственную тайну, средства, в
которых они реализованы, а также средства контроля эффективности
защиты информации.
Еще одним важным понятием является доступ к сведениям,
составляющим государственную тайну, который определен как
санкционированное полномочным должностным лицом ознакомление
конкретного лица со сведениями, составляющими государственную тайну.
29
2.3. Предмет регулирования законов РФ, действующих в области
информатизации и защиты информации. Основные положения
«Доктрины информационной безопасности Российской Федерации.
30
другая, эксплуатационная и сопроводительная документация),
используемые или создаваемые при проектировании информационных
систем и обеспечивающие их эксплуатацию;
собственник информационных ресурсов, информационных
систем, технологий и средств их обеспечения - субъект, в полном
объеме реализующий полномочия владения, пользования, распоряжения
указанными объектами;
владелец информационных ресурсов, информационных
систем, технологий и средств их обеспечения - субъект,
осуществляющий владения и пользование указанными объектами и
реализующий полномочия распоряжения в пределах, установленных
Законом;
пользователь (потребитель) информации - субъект,
обращающийся к информационной системе или посреднику за
получением необходимой ему информации и пользующийся ею;
электронное сообщение - информация, переданная или
полученная пользователем информационно-телекоммуникационной сети;
оператор информационной системы - гражданин или
юридическое лицо, осуществляющие деятельность по эксплуатации
информационной системы, в том числе по обработке информации,
содержащейся в ее базах данных.
Из определений, данных в законе, следует, что только
документированная информация рассматривается как объект регулирования
и выступает в качестве объекта собственности и защиты.
Целью Федерального закона "Об участии в международном
информационном обмене" (№ 85-Ф3), принятого 5 июня 1996 года, является
создание условии для эффективного участия России в международном
информационном обмене в рамках единого мирового информационного
пространства, защита интересов РФ, субъектов РФ и муниципальных
образовании при международном информационном обмене, защита
интересов, прав и свобод физических и юридических лиц при
международном информационном обмене.
В дополнении к определениям, установленным ранее, данный Закон
ввел ряд новых определений, из которых, пожалуй, основным является
информационная безопасность. Под этим термином понимается состояние
защищенности информационной среды общества, обеспечивающее ее
формирование, использование и развитие в интересах граждан,
организаций, государства.
Таким образом, обобщив основные положения законодательства в
области информатизации, можно сказать, что:
информацией является совокупность предназначенных для
передачи формализованных знаний и сведений о предметах, фактах,
событиях, явлениях и процессах независимо от формы их представления.
правовой защите подлежит любая документированная
31
информация, т.е. информация, облеченная в форму, позволяющую ее
идентифицировать.
документированная информация является объектом гражданских
прав и имеет собственника.
информация, ознакомление с которой ограничивается ее
собственником или в соответствии с законодательством, может быть
конфиденциальной, а предназначенная для неограниченного круга лиц -
массовой.
ограничение (установление режима) использования информации
определяются законом или собственником информации, которые
объявляют о степени ее конфиденциальности.
конфиденциальными в соответствии с законом являются, в
частности, такие виды информации, как:
• государственная тайна ( Закон РФ "О государственной тайне", ст. 275,
276, 283, 284 УК РФ),
• тайна переписки, телефонных переговоров, почтовых телеграфных или
иных сообщений (ч.2 ст. 23 Конституции РФ, ст,138 УК РФ),
• тайна усыновления (ст.155 УК РФ),
• служебная тайна (ст. 139 УК РФ),
• коммерческая тайна (ст. 139 ГК РФ и ст.183 УК РФ),
• банковская тайна (ст.183 УК РФ),
• личная тайна (ст. 137 УК РФ),
• семейная тайна (ст. 137 УК РФ),
информация, являющаяся объектом авторских и смежных прав (Закон
РФ "Об авторских и смежных правах", ст. 140 УК РФ),
• информация, непосредственно затрагивающая права и свободы
гражданина или персональные данные (Федеральный закон "Об
информации, информатизации и защите информации", от. 140 УК РФ) и
др.
любая форма завладения и пользования конфиденциальной
документированной информацией без прямого выраженного согласия ее
собственника (за исключением случаев, прямо указанных в законе)
является нарушением его прав, т.е. неправомерной.
неправомерное использование документированной информации
наказуемо.
нарушение законодательных норм, заложенных в перечисленных
законах наступает гражданская, уголовная или административная
ответственность.
Следует также упомянуть Указы Президента РФ, которые касаются,
прежде всего, вопросов формирования государственной политики в сфере
информатизации, (включая организационные механизмы), создания системы
правовой информации, информационно-правового сотрудничества с
государствами СНГ, обеспечения информацией органов государственной
власти, мер по защите информации (в частности, шифрования). Таким
32
образом, до 1 января 1997 года на уровне действующего законодательства
России можно было считать в достаточной степени урегулированными
вопросы охраны исключительных прав и частично защиту информации (в
рамках государственной тайны). Не получили достойного отражения в
законодательстве права граждан на доступ к информации и защита
информации, т.е. то, что напрямую связано с компьютерными
преступлениями. Часть указанных пробелов в общественных отношениях в
области компьютерной информации была ликвидирована после введения в
действие с 1 января 1997 года нового Уголовного Кодекса, принятого
Государственной Думой 24 мая 1996 года.
Совокупность официальных взглядов на цели, задачи, принципы и
основные направления обеспечения информационной безопасности
Российской Федерации представлена в Доктрине информационной
безопасности РФ.
На основе анализа положений, содержащихся в доктринальных и
нормативных правовых документах, можно выделить следующие жизненно
важные интересы в информационной сфере:
для личности:
- соблюдение и реализация конституционных прав и свобод человека
и гражданина на поиск, получение, передачу, производство и
распространение объективной информации;
- реализация права граждан на неприкосновенность частной жизни,
защита информации, обеспечивающей личную безопасность;
- использование информации в интересах не запрещенной законом
деятельности, физического, духовного и интеллектуального развития;
- защита права на объекты интеллектуальной собственности;
обеспечение права граждан на защиту своего здоровья от не-
осознаваемой человеком вредной информации;
для общества:
- обеспечение интересов личности в информационной сфере;
построение правового социального государства;
- упрочение демократии, построение информационного общества;
- духовное обновление общества, сохранение его нравственных
ценностей, утверждение в обществе идеалов высокой нравственности,
патриотизма и гуманизма, развитие многовековых духовных традиций
Отечества, пропаганда национального культурного наследия, норм
морали и общественной нравственности;
- достижение и поддержание общественного согласия;
- предотвращение манипулирования массовым сознанием;
- приоритетное развитие современных телекоммуникационных
технологий, сохранение и развитие отечественного научного и
производственного потенциала;
для государства:
- создание условий для реализации интересов личности и общества в
информационной сфере и их защита;
33
- формирование институтов общественного контроля за органами
государственной власти;
- безусловное обеспечение законности и правопорядка;
- создание условий для гармоничного развития российской ин-
формационной инфраструктуры;
- формирование системы подготовки, принятия и реализации
решений органами государственной власти, обеспечивающей баланс
интересов личности, общества и государства;
- защита государственных информационных систем и государ-
ственных информационных ресурсов, в том числе государственной
тайны;
- защита единого информационного пространства страны;
- развитие равноправного и взаимовыгодного международного
сотрудничества.
К основным задачам в области обеспечения информационной
безопасности относятся:
формирование и реализация единой государственной политики
по обеспечению защиты национальных интересов от угроз в
информационной сфере, реализации конституционных прав и свобод
граждан в сфере информационной деятельности;
разработка и создание механизмов формирования и реализации
государственной информационной политики России, в том числе
разработка методов повышения эффективности участия
государства в формировании информационной политики
государственных телерадиовещательных организаций, других
государственных средств массовой информации;
совершенствование законодательства Российской Федерации в
области обеспечения информационной безопасности;
определение полномочий органов государственной власти
Российской Федерации, субъектов Российской Федерации, органов
местного самоуправления и ответственности их должностных лиц,
юридических лиц и граждан в области обеспечения информационной
безопасности;
развитие и совершенствование системы обеспечения
информационной безопасности Российской Федерации, реализующей
единую государственную политику в этой области, включая
совершенствование форм, методов и средств выявления, оценки и
прогнозирования угроз информационной безопасности Российской
Федерации, а также системы противодействия этим угрозам;
координация деятельности органов государственной власти по
обеспечению информационной безопасности;
совершенствование и защита отечественной информационной
инфраструктуры, ускорение развития новых информационных технологий
и их широкое распространение, унификация средств поиска, сбора,
34
хранения, обработки и анализа информации с учетом вхождения России в
глобальную информационную инфраструктуру;
проведение единой технической политики в области обеспечения
информационной безопасности Российской Федерации; разработка
критериев и методов оценки эффективности систем и средств обеспечения
информационной безопасности Российской Федерации, а также
сертификации этих систем и средств; развитие стандартизации
информационных систем на базе общепризнанных международных
стандартов и их внедрение для всех видов информационных систем;
обеспечение технологической независимости Российской
Федерации, развитие отечественной индустрии телекоммуникационных и
информационных средств, их приоритетное по сравнению с зарубежными
аналогами распространение на внутреннем рынке;
развитие научно-практических основ обеспечения
информационной безопасности Российской Федерации с учетом
современной геополитической ситуации, условий политического и
социально-экономического развития России и реальности угроз
применения «информационного оружия»;
разработка современных методов и средств защиты информации,
обеспечения безопасности информационных технологий, прежде всего,
используемых в системах управления войсками и оружием, экологически
опасными и экономически важными производствами;
создание и развитие современной защищенной технологической
основы управления государством в мирное время, в чрезвычайных
ситуациях и в военное время;
защита государственных информационных ресурсов, прежде
всего в федеральных органах государственной власти, на предприятиях
оборонного комплекса, в том числе государственной тайны;
создание условий для успешного развития негосударственного
компонента в сфере обеспечения информационной безопасности,
осуществления эффективного гражданского контроля за деятельностью
органов государственной власти;
защиты культурного и исторического наследия (в том числе
музейных, архивных, библиотечных фондов, основных историко-
культурных объектов);
сохранение традиционных духовных ценностей при важнейшей
роли Русской православной церкви и церквей других конфессий;
пропаганда средствами массовой информации элементов на-
циональных культур народов России, духовно-нравственных,
исторических традиций, норм общественной жизни и передового опыта
подобной пропагандистской деятельности;
повышение роли русского языка как государственного языка и
языка межгосударственного общения народов России и государств –
участников СНГ;
35
создание оптимальных социально-экономических условий для
осуществления важнейших видов творческой деятельности и
функционирования учреждений культуры;
противодействие угрозе развязывания противоборства в
информационной сфере;
создание единой системы подготовки кадров в области
обеспечения информационной безопасности;
организация международного сотрудничества по обеспечению
информационной безопасности при интеграции России в мировое
информационное пространство на условиях равноправного партнерства.
Юридическая наука в той или иной мере должна принимать участие в
решении всех задач и реализации соответствующих целей, однако ее
приоритет, решающая роль просматривается в двух областях:
во-первых, в определении разумного баланса между правом
субъектов на свободное получение информации путем ее сбора или
доступа к имеющимся ресурсам и правом субъектов на установление
ограничений в указанных действиях со стороны иных лиц по отношению к
сведениям, обладателями которых они являются,
во-вторых, в разработке и реализации правовых мер защиты
информации, доступ к которой должен ограничиваться по правомерным
основаниям, а также в обеспечении сохранности информационных
ресурсов.
37
при закрытых окнах и дверях — воздух и всевозможные звукопроводящие
коммуникации. Если при этом для перехвата информации используется
соответствующая техника, то образуется технический канал утечки
информации, называемый акустическим.
Технические каналы утечки информации принято делить на следующие
типы:
• радиоканалы (электромагнитные излучения радиодиапазона);
• акустические каналы (распространение звуковых колебаний в любом
звукопроводящем материале);
• электрические каналы (опасные напряжения и токи в различных
токопроводящих коммуникациях);
• оптические каналы (электромагнитные излучения в инфракрасной,
видимой и ультрафиолетовой части спектра);
• материально-вещественные каналы (бумага, фото, магнитные носители,
отходы и т.д.).
Правомерно предполагать, что образованию технических каналов утечки
информации способствуют определенные обстоятельства и причины
технического характера
(рис. 1). К ним можно отнести несовершенство элементной базы и схемных
решений,
38
Для каждой из этих групп, в свою очередь, можно выполнить
декомпозицию по принципу преобразования или иным параметрам. Так,
по принципам преобразования акустические преобразователи
подразделяются на индуктивные, емкостные, пьезоэлектрические и
оптические. При этом по виду преобразования они могут быть и
акустическими, и электромагнитными. Декомпозиция излучателей
электромагнитных колебаний выполняется по диапазону частот.
39
пожарной сигнализации, их линии, а также сеть электропитания. Нередки
случаи, когда технические устройства имеют в своем составе, помимо
подобных “микрофонов” и “антенн”, высокочастотные или импульсные
генераторы. Генерируемые колебания в таких устройствах могут быть
промодулированы проявившимися электрическими сигналами, вследствие
чего эти технические устройства превращаются в радиопередатчики и
представляют серьезную опасность, так как способны излучать
информацию в окружающее пространство.
Чтобы принять такой объем информации, на принимающей стороне
должна быть аппаратура, обладающая соответствующими
характеристиками, т.е. имеющая необходимую чувствительность при
определенном превышении сигнала над уровнем собственных помех, и
обеспечивающая необходимую ширину полосы принимаемых сигналов
при соответствующей длительности их передачи.
40
технических средств на специально оборудованных для этого испытательных
стендах и в специальных лабораториях.
41
Звуком называются механические колебание частиц упругой среды
(воздуха, воды, металла и т.д.), субъективно воспринимаемые органом
слуха. Звуковые ощущения вызываются колебаниями среды,
происходящими в диапазоне частот от 16 до 20000 Гц.
Звуковое давление – это переменное давление в среде, обусловленное
распространением в ней звуковых волн. Величина звукового давления Р
оценивается силой действия звуковой волны на единицу площади и
выражается в ньютонах на квадратный метр (1 Н/м2= 10 бар).
42
Рис. 3.6. Образование акустических каналов
43
модулируется по амплитуде и фазе (по закону вибрации поверхности) и
принимается приемником оптического излучения, при демодуляции которого
выделяется речевая информация.
44
3.1.4. Классификация визуально–оптических каналов утечки
информации
Основой визуально-оптического канала является оптическое
излучение, или свет. По диапазону излучения визуально-оптические каналы
утечки информации могут быть образованы в видимой (λ от 10 нм до 1 мм),
инфракрасной (от 1 мм до 770 нм) и ультрафиолетовой (от 380 до 10 нм)
областях спектра.
Для образования визуально-оптических каналов источник информации
должен обладать определенными характеристиками:
• соответствующими угловыми размерами;
• собственной яркостью;
• контрастностью.
45
• видеосъемка.
Эти методы позволяют получать информацию как в обычных
условиях, так и при минимальной освещенности, в инфракрасном спектре и
с помощью термографии, а также в полной темноте. В настоящее время
для сбора информации по визуальнооптическим каналам широко
применяют волоконные световоды и ПЗС-микросхемы (последние ставятся
вместо обычной передающей телевизионной трубки). Современные
системы фотосъемки и видеосъемки позволяют осуществлять
дистанционное управление. Разработаны системы, способные проводить
съемку практически в абсолютной темноте, позволяющие фотографировать
через малейшие отверстия. Впечатляют и возможности современных
объективов, особенно если учесть, что существуют камеры с несколькими
объективами, что освобождает от необходимости приобретать другие
камеры. Поскольку наблюдение приходится проводить в различных
условиях, разработано несколько типов передающих трубок. В зависимости
от освещенности наибольшее распространение получили трубки
“Видикон” (для ее успешного использования необходимо достаточное
освещение), “Самикон” (со средней светочувствительностью) и “Ньювикон”
(для применения при слабом освещении). Так, камера, оборудованная
трубкой “Ньювикон” с автоматической диафрагмой работает при 0,2 –
0,4 лк, а с дополнительным инфракрасным источником освещения
обеспечивает качественное изображения и в полной темноте. Миниатюрные
размеры современных видеокамер открывают широкие возможности для
маскировки.
46
информации в данном случае являются субъекты (люди) и материальные
объекты (макро- и микрочастицы), которые имеют четкие пространственные
границы локализации (за исключением излучений радиоактивных веществ).
Утечка информации по материально-вещественным каналам сопровождается
физическим перемещением людей и материальных тел с информацией за
пределы защищаемого объекта.
Для более детального описания рассматриваемого канала утечки
целесообразно уточнить состав источников и носителей информации.
47
• жидкими средами;
• излучением радиоактивных веществ.
Эти носители могут переносить все виды информации:
семантическую, признаковую, а также демаскирующие вещества.
Семантическая информация содержится в черновиках документов, схем,
чертежей; информация о видовых и сигнальных демаскирующих признаках –
в бракованных узлах и деталях, в характеристиках радиоактивного излучения
и т.п.; демаскирующие вещества – в газообразных, жидких и твердых
отходах производства.
Получатели информации, добываемой по материально-
вещественному каналу, достаточно разнообразны. Это и эксперты разведки
противника, и приборы для физического и химического анализа, и средства
вычислительной техники, и приемники радиоактивных излучений и др.
Потеря носителей ценной информации возможна при отсутствии в
организации четкой системы их учета. Например, машинистка, испортив
лист отчета, выбрасывает его в корзину для мусора, из которой он
переносится уборщицей в мусорный бак, находящийся на территории
организации. Затем при погрузке или последующей транспортировке мусора
лист уносится ветром и попадает в руки случайного прохожего. Конечно,
вероятность обеспечения случайного ознакомления злоумышленника с
содержимым этого листа невелика. Однако если злоумышленник активно
занимается добыванием информации, область пространства, в которой
возможен контакт, значительно сужается, что приводит к повышению
вероятности утечки информации по материально-вещественным каналам.
48
3.2. Технические и организационные методы защиты информации
от утечки
49
внешних излучений на аппаратуру, которые могут использоваться для
частотного навязывания.
Одним из методов локализации опасных сигналов, циркулирующих в
технических средствах и системах обработки информации, является
фильтрация. В источниках электромагнитных полей и наводок фильтрация
осуществляется с целью предотвращения распространения нежелательных
электромагнитных колебаний за пределы устройства – источника опасного
сигнала. Фильтрация в устройствах-рецепторах электромагнитных полей и
наводок (возможное частотное навязывание) должна исключить их
воздействие на рецептор.
Устройства поиска и обнаружения радиозакладных устройств
используются для обнаружения различных устройств, предназначенных для
модуляции звуковых частот в радиочастоты и их передачи посредством
радиоизлучения либо электрических цепей. Как правило, такие источники
имеют автономный источник питания, но возможны и варианты с
использованием питания от электрических цепей.
Заземление устройств используется для обнуления потенциала
нежелательных электрических импульсов и обнуления потенциалов экранов.
Устройства электромагнитного зашумления призваны создавать
электромагнитные помехи, которые затруднят использование излучений для
снятия информации.
Звукоизоляция помещения применяется для ограничения проникновения
звуков сквозь перекрытия помещения, т.е. уменьшает возможность
акустического прослушивания за пределами помещения.
Акустическая маскировка в отличие от звуковой изоляции помещений,
обеспечивающей требуемое ослабление интенсивности звуковой волны за их
пределами, повышает уровень помех звуковой частоты. Основу средства
акустической маскировки составляет генератор помех, который иначе
называют генератором шумовых колебаний, поэтому акустическую
маскировку часто называют акустическим зашумлением.
Соблюдение пропускного режима является неотъемлемой частью защиты
информации, которая выражается в ограничении допуска в помещения лиц.
Пропускной режим может устанавливаться как для помещений, в которых
находится аппаратная часть информационной системы либо проходят каналы
связи, так и для всей организации в целом.
Грамотный подбор кадров выражается в приеме на работу сотрудников,
всесторонне проверенных: необходимо установить связи и возможные связи
кандидата, отобрать характеристики с его прежних мест работы, проверить
его знания и навыки по работе с аппаратным и программным обеспечением
информационной системой, выяснить его качества как специалиста. Однако
без осуществления постоянного и всестороннего контроля за сотрудником
по соблюдению им правил и требований, связанных с защитой информации
нельзя уяснить надежность сотрудника. В этих целях осуществляются
различные проверки штата сотрудников.
50
4. Защита информационных процессов в компьютерных
системах
51
к этому не привели ошибочные действия пользователя).
Стоит отметить, что при выходе из строя лицензионного программного
обеспечения ответственность за потерю информации или потерю качеств
информации должны нести создатели программного обеспечения, если иное
не оговорено в лицензионном соглашении. Это не относится к программам,
поставляемым «как есть», за последствия использования которых создатель
не несет ответственности.
Искусственными угрозами информации называют угрозы, которые
возникают в результате деятельности человека. В свою очередь
искусственные угрозы в зависимости от мотивации действий можно
разделить на случайные и умышленные.
Случайные угрозы вызваны ошибками, допущенными при
проектировании информационной системы, ошибками, допускаемыми
пользователями при работе с системой, ошибками, возникающими в работе
программного обеспечения. К случайным угрозам можно отнести: ошибки
хранения, передачи и использования информации; нарушение защиты,
ошибки подготовки и ввода информации, ошибки операционной системы,
ошибки программ; аппаратные ошибки, ошибочное истолкование
инструкций, пропуск необходимых операций, нарушение
последовательности операций; ошибки создания информационных систем и
ошибки их внедрения; небрежное хранение и учет носителей информации.
Умышленные угрозы связаны с умыслом человека на уничтожение,
противоправное копирование, блокирование или модификацию информации
либо направленные на повреждение или уничтожение аппаратного
обеспечения информационной системы, программного обеспечения и иного
обеспечивающего оборудования, которые приведут или могут привести к
уничтожению, блокированию, модификации информации и др. К
умышленным угрозам можно отнести: несанкционированный доступ;
перехват информации при помощи технических средств съема информации;
перехват информации с помощью программно-математического воздействия
на процессы обработки информации; подкуп лиц, имеющих доступ к
информации; мошенничество, хищение, саботаж, шантаж, вымогательство и
другие преступления, предметом которых является информация.
Перед разработкой систем компьютерной безопасности необходимо
оценить все потенциальные угрозы и каналы утечки информации.
Появление возможных каналов преднамеренного
несанкционированного доступа к информации зависит от двух факторов: от
поддерживаемого режима работы и от ее конфигурации.
Различают автономный режим работы и сетевой - в составе локальной,
региональной или глобальной сети.
При автономном режиме работы возможны два варианта управления
компьютером:
1) однопользовательский, при котором пользователь сам выполняет функции
управления и контроля и несет ответственность за безопасность своей и
доверяемой ему информации;
52
2) многопользовательский, при котором перечисленные функции выполняет
специальное лицо. Им может быть один из пользователей или
руководитель работ. Однако, ключи шифрования и информация, закрытая
другим пользователем, могут быть недоступны до момента передачи
руководителю работ.
К компьютеру могут быть подключены различные периферийные
устройства – плоттер, сканер, стример, внешние накопители, которые
образуют дополнительный канал утечки за счет побочных электромагнитных
излучений. Значительное влияние на уровень излучения информации влияет
тип монитора.
Анализируя перечисленные факторы, можно выделить три основные
группы каналов утечки:
1) каналы, связанные с особенностями работы аппаратуры,
2) каналы, связанные с особенностями программного обеспечения,
3) каналы, связанные с действиями людей (злоумышленников или
обслуживающего персонала).
Группу каналов, связанных с особенностями работы аппаратуры
составляют:
подключение специальных аппаратных средств и внесение изменений в
аппаратные средства;
использование специальных технических средств для перехвата
электромагнитных излучений аппаратуры и линий связи.
К каналам, связанным с особенностями программного обеспечения,
относятся:
несанкционированный доступ программ к информации;
расшифровка программой зашифрованной информации;
копирование защищенной информации.
Группу каналов, связанных с действиями людей образуют:
хищение носителей информации (накопителей дисков, дискет, лент,
документации);
чтение информации с экрана посторонним лицом;
чтение информации с распечаток, оставленных без присмотра;
ввод заведомо ложной информации;
копирование информации ограниченного пользования;
проникновение в компьютерные сети.
53
очередь от исправности самого компьютера и носителей информации. В
широком спектре угроз целостности компьютерной информации особо
выделяют угрозы, связанные с неквалифицированными действиями
людей, приводящими к уничтожению или искажению данных.
Предупреждение несанкционированной модификации связано, прежде
всего, с профилактикой заражения компьютерными вирусами.
Предупреждение несанкционированного получения информации
приобретает особую актуальность в случаях, когда обрабатываемая или
хранимая информация носит конфиденциальный характер или содержит
тайну различного характера.
54
применения, открытости алгоритмов и механизмов защиты, простоты
применения защитных мер и средств.
Принцип системности
Принцип комплексности
55
для внедрения специальных программных и аппаратных «закладок» и других
средств преодоления системы защиты после восстановления ее
функционирования.
Разумная достаточность
57
С целью уменьшения ущерба целостности информации из-за отказа и
сбоев аппаратуры и помех от воздействия окружающей среды применяют
резервные источники бесперебойного электропитания, создают надежные
системы из менее надежных элементов за счет их структурной избыточности.
Кроме того, применяют более надежные детали и узлы.
Влияние программных, алгоритмических и системотехнических
ошибок разработчиков можно существенно снизить, применяя средства
функционального контроля с диагностикой отказа.
Создание системы жизнеобеспечения пользователей ведет к
существенному снижению ошибок с их стороны, а, кроме того, позволяет
сохранить информацию в случае аварийных и других непредвиденных
ситуаций.
Для предотвращения или минимизации ущерба, наносимого при
аварийных ситуациях необходимо разработать план организационных
мероприятий и создать условия для резервного копирования и хранения
информации.
4.4.2. Защита информации от преднамеренных воздействий
Большую угрозу целостности компьютерной информации
представляют преднамеренные угрозы, которые могут быть
непосредственными, если нарушитель получает доступ к компьютеру, и
опосредованными, когда угроза создается с помощью промежуточного
носителя.
Наиболее серьезной угрозой защищаемой информации является
несанкционированный доступ. Перечислим основные средства защиты
компьютерной информации:
1) физические средства защиты компьютера и носителей информации;
2) идентификация, аутентификация и авторизация пользователей и
компонентов системы;
3) разграничение доступа к элементам защищаемой информации;
4) регистрация всех обращений к защищаемой информации.
Физические средства защиты компьютера и носителей информации.
Компьютер лучше всего размещать в надежно запираемом помещении,
причем в рабочее время помещение должно быть закрыто или быть под
наблюдением законного пользователя. При обработке конфиденциальной
информации в помещении могут находиться только лица, имеющие на то
соответствующее разрешение.
Идентификация и аутентификация пользователей и компонентов
системы. Механизмы идентификации, аутентификации и авторизации
необходимы для подтверждения подлинности субъекта, обеспечения его
работы в системе, и определения законности прав субъекта на данный объект
или на определенные действия с ним.
Идентификация (именование и опознавание) - это процесс
распознавания элемента системы, обычно с помощью заранее определенного
идентификатора или другой уникальной информации; каждый субъект или
58
объект системы должен быть однозначно идентифицируем.
Аутентификация (подтверждение подлинности) - это проверка
подлинности идентификации пользователя, процесса, устройства или другого
компонента системы (обычно осуществляется перед разрешением доступа), а
также проверка целостности и авторства данных при их хранении или
передаче для предотвращения несанкционированной модификации.
Авторизация - это предоставление субъекту прав на доступ к объекту.
В качестве объектов идентификации и аутентификации могут
выступать: человек (пользователь, оператор, должностное лицо), техническое
средство (терминал, дисплей, ПЭВМ), носители информации (магнитные
ленты, диски, распечатки, листинги), информация на дисплее, табло и т.д.
Установление подлинности объекта может производиться человеком,
аппаратным устройством, программой, вычислительной системой. В
настоящее время на практике используются следующие способы
идентификации и аутентификации:
1) система паролей;
2) анализ антропометрических параметров пользователя – голос, походка,
лицо, радужная оболочка и сетчатка глаза, отпечатки ладони или пальца
(ДНК не входит в этот список, поскольку взятие её образца происходит
медленно и неудобно для человека);
3) электронные ключи.
Использование системы паролей заключается в том, что каждый
зарегистрированный пользователь имеет персональный пароль, сохраняемый
в тайне и запрашиваемый при обращении к ИС. Система паролей
характеризуется простотой и дешевизной реализации, малыми затратами
машинного времени и не требует больших объемов памяти. Существующие
пароли можно классифицировать по видам.
Простые пароли
Пользователь вводит такой пароль с клавиатуры после запроса, a
компьютерная программа (или специальная микросхема) кодирует его и
сравнивает с хранящимся в памяти эталоном. Преимущество простого пароля
в том, что его не нужно записывать, а недостаток - в возможности перехвата
пароля с помощью видеонаблюдения, клавиатурных жучков (устройств,
автоматически сохраняющих в памяти точную копию того, что набрано на
клавиатуре) и др. Простой пароль рекомендуется использовать для защиты
данных небольшого значения и стоимости.
Пароли однократного использования
Пользователю выдается список из N паролей, которые хранятся в
памяти компьютера в зашифрованном виде (также известны варианты списка
паролей, выполненные типографским способом на специальных карточках с
защитным покрытием). Каждый пароль используется только один раз,
поэтому перехват пароля теряет смысл. Такой пароль обеспечивает более
высокую степень безопасности, но более сложен. Имеет он и другие
недостатки. Во-первых, необходимо где-то хранить список паролей, так как
запомнить его практически невозможно. Во-вторых, после использования
59
всех паролей необходимо получить новый список. Следует учитывать, что
злоумышленник может попытаться перехватить управление сеансом
законного пользователя. При этом законный пользователь получает
сообщение об окончании сеанса, а злоумышленник подключается к сеансу и
выполняет нужные ему действия от имени законного пользователя.
Пароли на основе выборки символов
Пользователь вводит из пароля отдельные символы, позиции которых
задаются с помощью преобразования случайных чисел или генератора
псевдослучайных чисел. Очевидно, пароль следует менять достаточно часто,
поскольку постороннее лицо может в конце концов составить пароль из
отдельных символов.
Пароли по методу «запрос-ответ»
Пользователь должен дать правильные ответы на набор вопросов,
хранящийся в памяти компьютера и управляемый операционной системой.
Иногда пользователю задается много вопросов, и он может сам выбрать те из
них, на которые он хочет ответить. Достоинство этого метода состоит в том,
что пользователь может выбрать вопросы, a это дает весьма высокую степень
безопасности.
Графические пароли
При создании пароля пользователю предлагается выбрать и запомнить
десять иконок примерно из 200-400 возможных. При необходимости ввода
пароля система выдаёт на экран сразу огромное панно из иконок,
перемешанных случайным образом. Среди них обязательно будут три или
четыре "ваши". Их следует мысленно соединить линиями (получится
треугольник или квадрат) и щёлкнуть мышкой в любой точке внутри этой
фигуры. Тут же иконки перестраиваются, перемешиваются. Одни при этом
исчезают, другие – добавляются. И опять среди всего этого хаоса вы видите
и какие-либо свои значки из той самой десятки (не обязательно те, что были
на экране только что). Снова вы мысленно соединяете их в геометрическую
фигуру и щёлкаете в любом месте, но опять-таки в её границах. И так
происходит до 10 раз. Предусматривает при создании пароля выбор
настроек: числа иконок, скорость их перемещения, числа кликов по фигурам
и некоторых других параметров.
Главная идея – позволить пользователю доказать знание им пароля, не
показывая сам пароль в процессе его набора. Вопрос изменяется каждый раз
и ответ – так же. Но "секретное знание" остаётся тем же самым. Даже если
при наборе графического пароля у вас за спиной будет стоять человек и
запоминать все ваши действия и клики – он никогда не сможет зайти в ИС
вместо вас. Просмотрев видео с камеры системы безопасности, никто не
сможет восстановить ваш пароль. Недостаток этой системы: для входа в
систему требуется значительно больше времени, чем на традиционный набор
символов в окошке пароля.
Пароли на основе алгоритма
Пароль определяется на основе алгоритма, который хранится в памяти
компьютера и известен пользователю. Система выводит на экран случайное
60
число, а пользователь, с одной стороны, и компьютер, с другой, на его основе
вычисляют по известному алгоритму пароль. Такой тип пароля обеспечивает
более высокую степень безопасности, чем многие другие типы, но более
сложен и требует дополнительных затрат времени пользователя.
Анализ антропометрических параметров пользователя считается
наиболее надежным способом опознавания пользователя, но для его
реализации необходима специальная аппаратура съема и ввода
соответствующих параметров и сложные программы их обработки. Это
сопряжено с серьезным удорожанием ИС, что сдерживает широкое
распространение этого способа. В зависимости от состояния и самочувствия
человека полученные значения некоторых параметров (например, голоса)
будут «плавать», поэтому на практике полагаются на интегральный подход,
когда итог подводится по нескольким проверкам, учитывая и работу с
клавиатурой. У каждого человека проявляется свой уникальный
клавиатурный почерк. Клавиатурный почерк – это набор динамических
характеристик работы на клавиатуре. Не многие догадываются, что в
общении с компьютером индивидуальность пользователя проявляется в
скорости набора символов, привычки использовать основную или
дополнительную часть клавиатуры, характере «сдвоенных» и «строенных»
нажатий клавиш, в излюбленных приемах управления компьютером и т. д.
Этот метод можно использовать для дополнительной защиты при
организации доступа в компьютерных системах. Опознавание клавиатурного
почерка состоит в выборе соответствующего эталона из списка хранимых в
памяти компьютера эталонов, на основе оценки степени близости этому
эталону параметров почерка одного из операторов, имеющих право на работу
с данным компьютером. Решение задачи опознавания пользователя сводится
к решению задачи распознавания образов.
Электронный ключ – внешнее устройство (обычно для USB, LPT или
COM порта) для идентификации пользователя. Конструктивно электронные
ключи могут быть выполнены в виде электронных карт, электронных
таблеток (например, типа iButton), USB устройств и т.д. Такие ключи
подключаются к порту компьютера или работают по одному из каналов
беспроводной передачи данных – Wi-Fi, Bluetooth, ИК-порт. Электронный
ключ обеспечивает приемлемый уровень защиты и, одновременно,
доставляет наименьшие неудобства конечным пользователям.
Электронные ключи можно классифицировать следующим образом:
ключи, содержащие только память. Этот класс ключей является
морально устаревшим ввиду ограниченности возможностей.
ключи на ASIC-чипе (ASIC - Application Specific Integrated Circuit,
прикладная определенная интегральная схема). На сегодняшний день это
самый распространенный класс ключей, ключи стабильны и надежны в
работе. Их функциональность определяется конкретным видом ASIC-
чипа. Недостатком таких ключей является жесткость конструкции:
диапазон их возможностей ограничен определенными при создании
микросхемы рамками. Все ключи одной модели работают по одинаковому
61
алгоритму или алгоритмам (т.е. в них содержаться функции одинакового
вида). Такая особенность может неблагоприятно сказываться на степени
стойкости системы защиты.
Микропроцессорные ключи. Этот тип ключей, в отличие от предыдущего,
обладает гораздо более гибким устройством. В контроллер
микропроцессорного ключа можно "прошивать" программу,
реализующую функции, разные для каждого клиента. В принципе, любой
микропроцессорный ключ легко можно запрограммировать так, что он
будет работать по своему, уникальному алгоритму.
Разграничение доступа к элементам защищаемой информации.
Под разграничением (контролем) доступа понимают ограничение
возможностей использования ресурсов системы программами, процессами
или другими системами (для сети) в соответствии с правилами разграничения
доступа.
Основным объектом внимания средств контроля доступа являются
совместно используемые ресурсы. Совместное использование объектов
порождает ситуацию “взаимного недоверия”, при которой разные
пользователи одного объекта не могут до конца доверять друг другу. Тогда,
если с этим объектом что-нибудь случится, все они попадают в круг
подозреваемых.
Существует четыре основных способа разделения доступа субъектов к
совместно используемым объектам:
1) физическое - субъекты обращаются к физически различным объектам
(однотипным устройствам, наборам данных на разных носителях и т.д.);
2) временнóе - субъекты с различными правами доступа к объекту получают
его в различные промежутки времени;
3) логическое - субъекты получают доступ к совместно используемому
объекту в рамках единой операционной среды, но под контролем средств
разграничения доступа, которые моделируют виртуальную операционную
среду «один субъект - все объекты», в этом случае разделение может быть
реализовано различными способами: разделение оригинала объекта,
разделение с копированием объекта и т.д.;
4) криптографическое - все объекты хранятся в зашифрованном виде, права
доступа определяются наличием ключа для дешифрования объекта.
Регистрация и анализ событий, происходящих в системе. Механизм
регистрации обеспечивает получение и анализ информации о состоянии
ресурсов системы с помощью специальных средств контроля, а также
регистрацию действий, признанных администрацией ИС потенциально
опасными для безопасности системы. Анализ собранной информации
позволяет выявить средства и априорную информацию, использованные
нарушителем при воздействии на систему и определить, как далеко зашло
нарушение, подсказать метод его расследования и способы исправления
ситуации. Таким образом, задачи, решаемые при регистрации и анализе
событий, происходящих в системе, выглядят следующим образом:
1) контроль за использованием защищаемой информации;
62
2) выявление попыток несанкционированного доступа к информации;
3) накопление статистических данных о работе системы защиты.
63
несколько менее универсален, он позволяет защитить данные от
возможности нелегального копирования диска целиком. Однако
совершенствование устройств записи дисков и специального
программного обеспечения для копирования защищенных оптических
дисков зачастую позволяет преодолеть защиту, обеспечиваемую первыми
двумя способами;
защищённые компакт-диски CD-RX позволяют считывать информацию с
диска, но скопировать её нельзя. На записывающей поверхности можно
разглядеть небольшой участок данных шириной около 5-6 мм около
внутренней окружности диска, на который записывается VDH – Virtual
Digital Hologram (виртуальная цифровая голограмма)". Во время записи
происходит шифрование и перемежение записываемых данных с
использованием уникальной VDH диска, таким образом, прочесть данные
можно будет только владельцу оригинального диска.
4.4.4. Защита от вредоносных программных средств
64
высокой степенью можно быть уверенными в их отсутствии. Программные
же закладки могут появиться в любое время, а наносимый ими вред ничуть
не меньше. Например, Keylogger (кейлоггер, килоггер, клавиатурный шпион)
– программа для слежения за компьютером по функциональности ничем не
уступает аппаратному устройству – клавиатурному жучку.
Основу защиты от вредоносных закладок составляют следующие
функции:
1) создание таких условий, при которых дестабилизирующие факторы (ДФ)
не могут появляться;
2) предупреждение появления ДФ, даже если для этого имеются условия;
3) обнаружение появления ДФ;
4) предупреждение воздействия на информацию появившихся ДФ;
5) обнаружение негативного воздействия ДФ на информацию;
6) локализация негативного воздействия ДФ на информацию;
7) ликвидация последствий воздействия ДФ.
Итак, информация в компьютерных системах может быть подвергнута
случайным или преднамеренным воздействиям. Характер воздействия
зависит от конкретных условий работы ИС и существующих каналов
доступа. При разработке системы безопасности необходимо придерживаться
принципов системности, комплексности, непрерывности защиты, разумной
достаточности, гибкости управления, открытости алгоритмов и простоты
применения защитных мер. Среди существующих мер обеспечения
безопасности информации наиболее действенны физические и технические,
выполняющие такие основные функции как: идентификация,
аутентификация и авторизация пользователей, контроль и разграничение
доступа к ресурсам, регистрация и анализ событий, контроль целостности
ресурсов системы. Существуют программно-аппаратные комплексы,
обеспечивающие их выполнение.
65
4.5.1. Основные понятия и определения
Наука, исследующая криптографические преобразования, называется
криптологией. В криптологии различают несколько направлений:
криптографию, криптоанализ, стеганографию и стегоанализ. Разберем
кратко каждое из этих направлений.
66
Методы стеганографии использовались русскими революционерами в
письмах из тюрем. Это были строки, написанные молоком между строк
внешне безобидного обычного письма. Секретный текст проявлялся при
проглаживании бумаги горячим утюгом. Использовались также различные
химические препараты. Царская охранка знала об этой переписке и успешно
прочитывала секретную переписку. Во время второй мировой войны активно
использовались микроточки — микроскопические фотоснимки, вклеиваемые
в текст писем, телеграмм.
В настоящее время под стеганографией чаще всего понимают скрытие
информации в графических либо текстовых файлах путём использования
специального программного обеспечения.
Стегоанализ — наука о выявлении факта передачи скрытой
информации в анализируемом сообщении. В некоторых случаях под
стегоанализом понимают также извлечение скрытой информации из
содержащего её сообщения и (если это необходимо) дальнейшую её
дешифровку. Последнее определение следует употреблять с
соответствующей оговоркой.
Метод стегоанализа:
В качестве первого шага стегоаналитик представляет исследуемое
сообщение в виде контейнера, соответствующего известному ему методу
стеганографии данного типа сообщений. Для определения контейнера
требуется понимание метода занесения скрытой информации и знание места
в сообщении, куда могло быть помещено стего. Таким образом, на первом
этапе стегоаналитик
выбирает метод стеганографии, с помощью которого могла быть занесена
скрытая информация в исследуемое сообщение,
структурирует сообщение в виде соответствующего контейнера и
получает представление о возможных способах добавления стего в
сообщение выбранным методом.
67
которой удалось выявить наличие скрытой информации, называют успешной
атакой.
Как правило, стегоанализ даёт вероятностные результаты (то есть
возможность наличия стего в сообщении), и реже — точный ответ. В
последнем случае, как правило, удаётся восстановить исходное стего.
68
Со средних веков и до наших дней необходимость шифрования
военных, дипломатических и государственных документов стимулировало
развитие криптографии. Сегодня потребность в средствах, обеспечивающих
безопасность обмена информацией, многократно возросла.
69
Термины распределение ключей и управление ключами относятся к
процессам системы обработки информации, содержанием которых является
составление и распределение ключей между пользователями.
Электронной (цифровой) подписью называется присоединяемое к
тексту его криптографическое преобразование, которое позволяет при
получении текста другим пользователем проверить авторство и подлинность
сообщения.
Криптостойкостью называется характеристика шифра,
определяющая его стойкость к дешифрованию без знания ключа (т.е.
криптоанализу). Имеется несколько показателей криптостойкости, среди
которых:
количество всех возможных ключей;
среднее время, необходимое для криптоанализа.
Преобразование Tk определяется соответствующим алгоритмом и
значением параметра k. Эффективность шифрования с целью защиты
информации зависит от сохранения тайны ключа и криптостойкости шифра.
Процесс криптографического закрытия данных может осуществляться
как программно, так и аппаратно. Аппаратная реализация отличается
существенно большей стоимостью, однако ей присущи и преимущества:
высокая производительность, простота, защищенность и т.д. Программная
реализация более практична, допускает известную гибкость в использовании.
Для современных криптографических систем защиты информации
сформулированы следующие общепринятые требования:
зашифрованное сообщение должно поддаваться чтению только при
наличии ключа;
70
структурные элементы алгоритма шифрования должны быть
неизменными;
71
4.5.2.4 Основные современные методы шифрования
72
подстановка) или нескольких (много- или полиалфавитная подстановка)
алфавита.
Заменяющие
s р x l r z i m a y e d w t b g v n j o c f h q u k
символы
Используя эту таблицу, зашифруем текст: In this book the reader will find a
comрrehensive survey... Получим следующее зашифрованное сообщение: At
omiy рbbe omr nrsirn fadd zail s xbwgnrmrtjafr jcnfru... Однако такой шифр
имеет низкую стойкость, так как зашифрованный текст имеет те же
статистические характеристики, что и исходный. Например, текст на
английском языке содержит символы со следующими частотами появления
(в порядке убывания): Е — 0,13 , Т — 0,105 , А — 0,081 , О — 0,079 и т.д. В
зашифрованном тексте наибольшие частоты появления в порядке убывания
имеют буквы R — 0,12 , O — 0,09 , A и N по 0,07.
Естественно предположить, что символом R зашифрована буква Е,
символом О — буква Т и т.д. Это действительно соответствует таблице
замены. Дальнейшая расшифровка не составляет труда.
Если бы объем зашифрованного текста был намного больше, чем в
рассмотренном примере, то частоты появления букв в зашифрованном
тексте были бы еще ближе к частотам появления букв в английском алфавите
и расшифровка была бы еще проще. Поэтому простую замену используют
редко и лишь в тех случаях, когда шифруемый текст короток.
Для повышения стойкости шрифта используют полиалфавитные
подстановки, в которых для замены символов исходного текста
используются символы нескольких алфавитов. Известно несколько
разновидностей полиалфавитной подстановки, наиболее известными из
которых являются одно- (обыкновенная и монофоническая) и
многоконтурная.
При полиалфавитной одноконтурной обыкновенной подстановке для
замены символов исходного текста используется несколько алфавитов,
причем смена алфавитов осуществляется последовательно и циклически, т.е.
первый символ заменяется соответствующим символом первого алфавита,
73
второй — символом второго алфавита и т.д., пока не будут использованы все
выбранные алфавиты. После этого использование алфавитов повторяется.
Схема шифрования Вижинера. Таблица Вижинера представляет
собой квадратную матрицу с n2 элементами, где n — число символов
используемого алфавита. В таблице 3.2. показана верхняя часть таблицы
Вижинера для кириллицы. Каждая строка получена циклическим сдвигом
алфавита на символ. Для шифрования выбирается буквенный ключ, в
соответствии с которым формируется рабочая матрица шифрования.
74
полученный текст может разбиваться на группы по несколько знаков.
75
Нецелесообразно выбирать ключи с повторяющимися буквами, так как
при этом стойкость шифра не возрастает. В то же время ключ должен легко
запоминаться, чтобы его можно было не записывать. Последовательность же
букв не имеющих смысла, запомнить трудно.
С целью повышения стойкости шифрования можно использовать
усовершенствованные варианты таблицы Вижинера. Приведу только
некоторые из них:
во всех (кроме первой) строках таблицы буквы располагаются в
произвольном порядке.
76
П У С Т Ь Б У Д Е Т Т А К К А
К М ЫХ О Т Е Л И КЛ М НО П
После этого вертикальные столбцы по порядку писали в строку с
разбивкой на пятерки букв:
ПКУМС ЫТХЬО БТУЕД ЛЕИТК ТЛАМК НКОАП
Если строки укоротить, а количество строк увеличить, то получится
прямоугольник-решетка, в который можно записывать исходный текст. Но
тут уже потребуется предварительная договоренность между адресатом и
отправителем посланий, поскольку сама решетка может быть различной
длины-высоты, записывать в нее можно по строкам, по столбцам, по спирали
туда или по спирали обратно, можно писать и по диагоналям, а для
шифрования можно брать тоже различные направления. В общем, здесь
масса вариантов.
Ri = ( Si + G ) mod (k –1),
где Ri, Si, G — символы соответственно зашифрованного, исходного текста и
гаммы.
При втором методе символы исходного текста и гаммы представляются
в виде двоичного кода, затем соответствующие разряды складываются по
модулю 2. Вместо сложения по модулю 2 при гаммировании можно
использовать и другие логические операции, например преобразование по
правилу логической эквивалентности и неэквивалентности.
Шифруемый текст Ь
Б У Д
…
010010 100000 110010 100000
2
7 1 8
Знаки гаммы …
000111 000001 001000 000010
Шифрованный
010101 1000001 111010 100010
текст
Такая замена равносильна введению еще одного ключа, который
является выбор правила формирования символов зашифрованного
сообщения из символов исходного текста и гаммы.
77
Стойкость шифрования методом гаммирования определяется главным
образом свойством гаммы — длительностью периода и равномерностью
статистических характеристик. Последнее свойство обеспечивает отсутствие
закономерностей в появлении различных символов в пределах периода.
Обычно разделяют две разновидности гаммирования: с конечной и
бесконечной гаммами. При хороших статистических свойствах гаммы
стойкость шифрования определяется только длинной периода гаммы. При
этом, если длина периода гаммы превышает длину шифруемого текста, то
такой шифр теоретически является абсолютно стойким, т.е. его нельзя
вскрыть при помощи статистической обработки зашифрованного текста. Это,
однако, не означает, что дешифрование такого текста вообще невозможно:
при наличии некоторой дополнительной информации исходный текст может
быть частично или полностью восстановлен даже при использовании
бесконечной гаммы.
В качестве гаммы может быть использована любая последовательность
случайных символов, например, последовательность цифр числа и т.п. При
шифровании с помощью, например, аппаратного шифратора
последовательность гаммы может формироваться с помощью датчика
псевдослучайных чисел (ПСЧ). В настоящее время разработано несколько
алгоритмов работы таких датчиков, которые обеспечивают
удовлетворительные характеристики гаммы.
Алгоритм RSA
78
(mod — остаток от деления, т. е. если e, умноженное на d, поделить на ((р
-1) *(q -1)), то в остатке получим 1).
Криптотекст — 11 12 16 17.
Проверим расшифровкой:
79
применяют шифрование открытым ключом с использованием идей
алгоритма RSA. Действительно ли эта система так надежна?
С момента своего создания RSA постоянно подвергалась атакам типа
Brute-force attack (атака методом грубой силы, т. е. перебором). В 1978 г.
авторы алгоритма опубликовали статью, где привели строку,
зашифрованную только что изобретенным ими методом. Первому, кто
расшифрует сообщение, было назначено вознаграждение в размере 100 долл.,
но для этого требовалось разложить на два сомножителя 129-значное число.
Это был первый конкурс на взлом RSA. Задачу решили только через 17 лет
после публикации статьи.
Криптостойкость RSA основывается на том предположении, что
исключительно трудно, если вообще реально, определить закрытый ключ из
открытого. Для этого требовалось решить задачу о существовании делителей
огромного целого числа. До сих пор ее аналитическими методами никто не
решил, и алгоритм RSA можно взломать лишь путем полного перебора.
Строго говоря, утверждение, что задача разложения на множители сложна и
что взлом системы RSA труден, также не доказано.
Компания RSA (httр://www.rsa.ru) регулярно проводит конкурсы на
взлом собственных (и не только собственных) шифров. Предыдущие
конкурсы выиграла организация Distributed.net (httр://www.distributed. net/),
являющаяся Интернет-сообществом добровольцев.
Участники Distributed.net загружают к себе на ПК небольшую
программу-клиент, которая подсоединяется к центральному серверу и
получает кусочек данных для вычислений. Затем все данные загружаются на
центральный сервер, и клиент получает следующий блок исходной
информации. И так происходит до тех пор, пока все комбинации не будут
перебраны. Пользователи, участники системы, объединяются в команды, а на
сайте ведется рейтинг как команд, так и стран. Например, участвующей в
конкурсе по взлому RC5-64 (блочный шифр компании RSA, использующий
ключ длиной 64 бита) организации Distributed.net удалось осуществить взлом
через пять лет (1757 дней) работы. За это время в проекте участвовали 327
856 пользователей и было перебрано 15 268 315 356 922 380 288 вариантов
ключа. Выяснилось, что была (не без юмора) зашифрована фраза «some
things are better left unread» («некоторые вещи лучше оставлять
непрочтенными»). Общие рекомендации по шифру RC5-64 таковы: алгоритм
достаточно стоек для повседневных нужд, но шифровать им данные,
остающиеся секретными на протяжении более пяти лет, не рекомендуется».
80
Достаточно эффективным средством повышения стойкости
шифрования является комбинированное использование нескольких
различных способов шифрования, т.е. последовательное шифрование
исходного текста с помощью двух или более методов.
Как показали исследования, стойкость комбинированного шифрования
не ниже произведения стойкостей используемых способов.
Вообще говоря, комбинировать можно любые методы шифрования и в
любом количестве, однако на практике наибольшее распространение
получили следующие комбинации:
1) подстановка + гаммирование;
2) перестановка + гаммирование;
3) гаммирование + гаммирование;
4) паодстановка + перестановка;
81
DES-алгоритм явился первым примером широкого производства и
внедрения технических средств в области защиты информации.
Национальное бюро стандартов США проводит проверку аппаратных
реализаций DES-алгоритма, предложенных фирмами-разработчиками, на
специальном тестирующем стенде. Только после положительных результатов
проверки производитель получает от Национального бюро стандартов
сертификат на право реализации своего продукта. К настоящему времени
аттестовано несколько десятков изделий, выполненных на различной
элементарной базе.
Достигнута высокая скорость шифрования. Она составляет в лучших
изделиях 45 Мбит/с. Цена некоторых аппаратных изделий ниже 100
долларов США.
Основные области применения DES-алгоритма:
1) хранение данных на компьютерах (шифрование файлов, паролей);
82
Ключ алгоритма ГОСТ — это массив, состоящий из 32-мерных
векторов X1, X2,…X8. Цикловой ключ i-го цикла Ki равен Xs, где ряду
значений i от 1 до 32 соответствует следующий ряд значений s:
1,2,3,4,5,6,7,8,1,2,3,4,5,6,7,8,1,2,3,4,5,6,7,8,8,7,6,5,4,3,2,1.
В шифре ГОСТ используется 256-битовый ключ и объем ключевого
пространства составляет 2256. Ни на одной из существующих в настоящее
время или предполагаемых к реализации в недалеком будущем
компьютерной системе общего применения нельзя подобрать ключ за время,
меньшее многих сотен лет. Российский стандарт проектировался с большим
запасом, по стойкости он на много порядков превосходит американский
стандарт DES с его реальным размером ключа в 56 бит о и объемом
ключевого пространства всего 256( и неудивительно: его ключ длиной 32
байта (256 бит) вчетверо больше ключа DES. Необходимое же на перебор
всех ключей время при этом возрастает не в четыре раза, а в 25632-8=25624,
что выливается уже в астрономические цифры), чего явно недостаточно. В
этой связи DES может представлять скорее исследовательский или научный,
чем практический интерес.
83
содержащие информацию, составляющую коммерческую тайну, грифа
«Коммерческая тайна» с указанием обладателя этой информации.
84
цессе осуществления управленческой, производственной, научной и иной
деятельности.
Таким образом, задачами секретного (конфиденциального)
делопроизводства являются:
документирование секретной (конфиденциальной) информации;
организация работы с секретными (конфиденциальными)
документами;
обеспечение всех видов секретной деятельности;
обеспечение защиты содержащейся в секретных
(конфиденциальных) документах информации.
При этом должен соблюдаться принцип исключения необоснованного
издания (изготовления) и рассылки документов, содержащих защищаемую
информацию, исключение необоснованного доступа и ознакомления с ними.
Если несекретное делопроизводство распространяется лишь на
управленческие действия и управленческие документы и рассматривается
как деятельность, охватывающая документирование и организацию работы с
этими документами, то секретное (конфиденциальное) делопроизводство
распространяется также и на производственные, хозяйственные, научные и
другие виды деятельности, включает в себя не только управленческие, но и
научно- технические и иные специальные документы, содержащие
охраняемую информацию. То есть секретное (конфиденциальное)
делопроизводство охватывает все направления документирования секретной
(конфиденциальной) деятельности и все категории секретных
(конфиденциальных) документов.
Следует особо подчеркнуть, что секретное делопроизводство должно
распространяться не только на официальные документы, но и на их проекты,
черновики, различные рабочие записи, содержащие информацию, подлежа-
щую защите. Это относится не только к «бумажной» информатике. Теорией
и практикой применения традиционных аналоговых документов отработаны
методы защиты зафиксированной аналоговой информации, которые одина-
ково применимы для традиционных бумажных документов и электронных
документов в аналоговой форме.
Фундаментальные принципы секретного делопроизводства:
1. решение задач секретной деятельности должно обеспечиваться
минимальным количеством документов при сохранении полноты
необходимой информации;
2. на всех стадиях должен быть обеспечен учет издания, получения,
прохождения и местонахождения носителей засекреченной
информации;
3. должна быть установлена персональная ответственность за учет,
сохранность документов и порядок работы с ними.
Сущность секретного делопроизводства обусловливает его
организационные и технологические особенности, к которым относятся:
85
жесткое регламентирование состава издаваемых документов и
процесса документирования, в том числе на стадии подготовки
черновиков и проектов;
обязательный поэкземплярный и полистный учет всех без
исключения документов, проектов и черновиков;
максимально необходимая полнота регистрационных данных о
каждом документе;
фиксация прохождения и местонахождения каждого документа;
регламентация общей технологии документирования,
организации работы с документами и их защиты;
проведение систематических проверок наличия документов;
разрешительная система доступа к документам и делам,
обеспечивающая правомерное и санкционированное
ознакомление с ними;
жесткие требования к условиям хранения документов и
обращения с ними, которые должны обеспечивать сохранность и
секретность документированной информации;
регламентация обязанностей лиц, допущенных к работе с
секретной документированной информацией, по ее защите;
персональная и обязательная ответственность за учет,
сохранность документов и порядок обращения с ними.
Требование жесткого регламентирования создаваемых секретных доку-
ментов обосновано необходимостью предотвращения не только необосно-
ванного, но и неконтролируемого их издания, которое может привести к
утечке содержащейся в них информации. Эти особенности одновременно
являются и требованиями к конфиденциальному делопроизводству.
Подготовка секретных (конфиденциальных) документов должна начи-
наться с учета оформления и выдачи исполнителям бумажных носителей ин-
формации, на которых будут создаваться (исполняться) черновики или про-
екты конфиденциальных документов. Учету подлежат все без исключения
изготовленные и полученные секретные (конфиденциальные) документы.
Учет должен обеспечивать возможность получения в любое время
данных о любом носителе охраняемой информации, о количестве и
местонахождении всех носителей такой информации, а также данных о всех
пользователях этой информацией.
Еще раз необходимо подчеркнуть, что конфиденциальная (секретная)
деятельность должна обеспечиваться минимальным количеством документов
при сохранении полноты и достоверности информации. Применительно к
организации документооборота это означает предоставление пользователям
всех необходимых документов, но только тех, которые действительно требу-
ются для выполнения должностных обязанностей.
При осуществлении электронного документооборота, очевидно,
должны быть соблюдены масса требований по отношению к персоналу,
помещениям, компьютерной и орг.технике, а также линиям передачи данных
86
и программному обеспечению. Одним из необходимых механизмов
обеспечения электронного делопроизводства, является использование
электронной цифровой подписи.
87
практически исключена. Каждому «секретному ключу» соответствует свой
«открытый ключ», которым пользуются лица, принимающие сообщения. От-
крытый ключ, соответствующий конкретному секретному ключу, формиру-
ется отправителем сообщения с помощью специального программного обес-
печения, заложенного в средства ЭЦП, и заранее рассылается другим абонен-
там сети (рис. 5.2).
88
документа конкретным лицом. Чтобы исключить возможность внесения
изменений в сертификаты ключей со стороны пользователей при передаче их
по каналам связи, сертификат в виде электронных данных подписывается
ЭЦП удостоверяющего центра. Таким образом, удостоверяющий центр
выполняет функции электронного нотариуса. На такую деятельность
государством выдается соответствующая лицензия.
89
До конца XIX века стеганография и криптография развивались в
рамках единой науки о тайнописи. После формулирования знаменитого
правила о том, что стойкость криптографического алгоритма должна
определяться исключительно стойкостью ключа, криптография как
отдельная наука отделилась от стеганографии. В основе многих подходов к
решению задач стеганографии лежит общая с криптографией методическая
база, заложенная Шенноном в теории тайнописи. Однако до сих пор
теоретические основы стеганографии остаются мало разработанными.
Наблюдаемый в настоящее время интерес к стеганографии как
совокупности методов сокрытия информации возник в большой мере
благодаря интенсивному внедрению и широкому распространению средств
электронной вычислительной техники во все сферы деятельности человека. В
рамках телекоммуникационных сетей возникли достаточно широкие
возможности по оперативному обмену различной информацией в виде
текстов, программ, звука, изображений между любыми участниками сетевых
сеансов независимо от их территориального размещения. Это позволяет
активно применять все преимущества, которые дают стеганографические
методы защиты.
Стеганографические методы находят все большее применение в
различных сферах деятельности (оборона, политика, коммерция, финансы и
т. п.) в силу их легкой адаптируемости при решении задач защиты
информации, а также отсутствия явно выраженных признаков средств
защиты, использование которых может быть ограничено или запрещено (как,
например, криптографических средств защиты).
Сегодня стеганографические технологии активно используются для
решения следующих основных задач:
защиты информации с ограниченным доступом от
несанкционированного доступа;
защиты авторских прав на некоторые виды интеллектуальной
собственности;
преодоления систем мониторинга и управления сетевыми
ресурсами; камуфляжа программного обеспечения;
создания скрытых каналов утечки чувствительной информации
от законного пользователя.
Использование стеганографических систем является наиболее
эффективным при решении проблемы защиты информации с ограниченным
доступом. Так, например, только одна секунда оцифрованного звука с
частотой дискретизации 44100 Гц и уровнем отсчета 8 бит в стереорежиме
позволяет скрыть за счет замены младших разрядов на скрываемое
сообщение около 10 Кбайт информации. При этом изменение значений
отсчетов составляет менее 1 %. Такое изменение практически не
обнаруживается при прослушивании файла большинством людей.
Кроме скрытой передачи сообщений, стеганография является одним из
самых перспективных направлений для аутентификации и маркировки автор-
90
ской продукции с целью защиты авторских прав на цифровые объекты от
пиратского копирования. На компьютерные графические изображения, ау-
диопродукцию, литературные произведения (в том числе программы) нано-
сится специальная метка, которая остается невидимой для глаз, но распозна-
ется специальным программным обеспечением. Метка содержит скрытую
информацию, подтверждающую авторство. Скрытая информация призвана
обеспечить защиту интеллектуальной собственности. В качестве внедряемой
информации можно использовать данные об авторе, дату и место создания
произведения, номера документов, подтверждающих авторство, дату приори-
тета и т. п. Такие специальные сведения могут рассматриваться в качестве
доказательств при рассмотрении споров об авторстве или для доказательств;
нелегального копирования.
Как и любые другие инструменты, стеганографические методы
требуют к себе бережного отношения, так как они могут быть использованы
как с целью защиты, так и в противоправных целях. Например, в конце 2001
года под пристальным вниманием прессы оказались сведения о том, что один
из опаснейших террористов мира Усама бен Ладен и члены его группировки
широко используют Интернет для передач сообщений по организации
террористических акций. Правительства некоторых стран предпринимают
шаги с целью обуздания такой угрозы, пытаясь ввести ограничения на
распространение программ, связанных с криптографическими и
стеганографическими методами.
Однако стеганографические методы успешно применяются для
противодействия системам мониторинга и управления сетевыми ресурсами
промышленного шпионажа. С их помощь можно противостоять попыткам
контроля над информационным пространством при прохождении
информации через серверы управления локальных и глобальных
вычислительных сетей.
Нередко методы стеганографии используют для камуфлирования про-
граммного обеспечения. В тех случаях, когда использование программ неза-
регистрированными пользователями является нежелательным, оно может
быть закамуфлировано под стандартные универсальные программные про-
дукты (например, текстовые редакторы) или скрыто в файлах мультимедиа
(например, в звуковом сопровождении компьютерных игр). И, наконец, сте-
ганографический подход используется при создании скрытого канала утечки
чувствительной информации от законных пользователей.
91
Рис. 5.3. Виды стеганографии (классификация стеганографических
методов)
92
любые символы, кроме букв и цифр. Эти сообщения могут быть переданы,
например, в рисунке, содержащем точки и тире для чтения по коду Морзе.
Стеганографические методы в их проекции на инструментарий и среду,
которая реализуется на основе компьютерной техники и программного обес-
печения в рамках отдельных вычислительных или управляющих систем, кор-
поративных или глобальных вычислительных сетей, составляют предмет
изучения сравнительно нового научного направления информационной безо-
пасности - компьютерной стеганографии.
В рамках компьютерной стеганографии рассматриваются вопросы, свя-
занные с сокрытием информации, которая хранится на носителях или переда-
ется по сетям телекоммуникаций, с организацией скрытых каналов в компь-
ютерных системах и сетях, а также с технологиями цифровых водяных зна-
ков и отпечатка пальца.
Существуют определенные отличия между технологиями цифровых
водяных знаков и отпечатка пальца, с одной стороны, и собственно
стеганографическими технологиями сокрытия секретной информации для ее
последующей передачи или хранения. Самое главное отличие - это то, что
цифровые водяные знаки и отпечатки имеют целью защиту самого
цифрового объекта (программы, изображения, музыкального файла и пр.),
куда они внедряются, обеспечивая доказательство прав собственности на
данный объект.
При использовании методов компьютерной стеганографии должны
учитываться следующие условия:
противник может иметь полное представление о
стеганографической системе и деталях ее реализации.
Единственная информация, которая должна оставаться ему
неизвестной, – это ключ, с помощью которого можно установить
факт присутствия скрытого сообщения и его содержание;
если противнику каким-то образом удалось узнать о факте
существования скрытого сообщения, то это не должно позволить
ему извлечь подобные сообщения из других стеганограмм до тех
пор, пока ключ хранится в тайне;
потенциальный противник должен быть лишен каких-либо
технических и иных преимуществ в распознавании или
раскрытии содержания тайных сообщений.
Основная идея стеганографического сокрытия состоит в том, что
добавление «секретного» сообщения в файл-контейнер должно вызывать
лишь незначительные изменения последнего, которые не улавливаются
органами чувств человека.
Для стеганографического преобразования необходимы:
исходный скрываемый файл (текст);
93
файл-контейнер (приемник) данных достаточно большого
размера (графический, аудио- или видеофайл).
СКРЫТЫЙ ТЕКСТ
94
Современные средства стеганографического сокрытия данных:
OutGuess, JSTEG, JPHS, Gifshuffle, Hide-and-Seek, Steganos, Steghide, DC-
Stegano, Invisible Secrets, Hide4PGP, StegoDOS, FFEncode, Contraband, Isteg,
Winstorm, StegoWav, Steaghan, MP3Stego, S-Tools, WNS, Covert TCP,
UnderMP3 Cover, Securengine. Пользование большинством из программ
достаточно просто и сводится к нажатию нескольких кнопок в окнах диалога.
На определенном этапе вводится пароль (ключ).
Рассмотренные выше средства обеспечения защиты информации
активно применяются для обмена данными по коммуникационным сетям. В
частности, для обмена оперативной информацией, в системе МВД России
активно используется своя, внутренняя коммуникационная сеть.
95
Российской Федерации, УВДТ" к 2006 году была также проведена
реконструкция коммуникационных узлов ОВД федерального и
регионального уровня. В столицах республик, краевых и областных центрах
между зданиями подразделений ОВД были проложены волоконно-
оптические линии связи, позволяющие развивать инфраструктуру ОВД, в т.ч.
системы цифровой радиосвязи, видеонаблюдения, навигации и т.п.
По цифровым каналам связи к ЕИТКС подключены как подразделения
ОВД по субъектам Российской Федерации, так и городские (районные) ОВД,
дислоцирующиеся в республиканских, краевых и областных центрах, а также
подразделения УВД на транспорте и Федеральной миграционной службы
(ФМС) России, расположенные в отдельно стоящих зданиях. Организованы
устойчивые скоростные магистральные цифровые каналы связи Е1 (2
Мбит/с) регионов с главным коммутационным узлом МВД России.
Обеспечена возможность проведения видеоконференций между 66
регионами. Проведено техническое переоснащение 73 региональных
информационных центров и 9 информационных центров УВД на транспорте.
Еще в 2006 году также были завершены работы по созданию системы
межрегиональных автоматизированных банков данных дактилоскопической
информации (АДИС) федеральных округов, федеральной АДИС-ГИАЦ,
региональных АДИС в 23 субъектах РФ. Общий объем автоматизированной
дактилоскопической информации, накопленной в межрегиональных АДИС-
ФО, федеральной АДИС-ГИАЦ к 2006 году составлял более 32 миллионов
дактилокарт. В настоящее время он превышает 71 миллион дактилокарт.
Все региональные ИЦ были оснащены типовыми программно-
техническими комплексами "ИБД-Регион", что позволило автоматизировать
формирование и использование оперативно-справочных, розыскных и
криминалистических учетов, обеспечить взаимный доступ к ИБД-Р регионов.
Таким образом, создание ЕИТКС МВД России позволяет
интегрировать различные автоматизированные централизованные базы
данных как регионального, так и федерального уровня и предоставлять
доступ к ним всем подразделениям ОВД. В результате на
общегосударственном уровне формируются справочные ресурсы,
содержащие информацию о событиях, относящихся к ведомству МВД и
происходящих на всей территории Российской Федерации.
Так, при помощи внедрения ЕИТКС МВД РФ, существенно
повышается эффективность использования оперативно-справочных учетов,
розыскных и криминальных учетов.
Доступ мобильных сотрудников ОВД к информационным ресурсам
различного уровня в режиме реального времени обеспечивает радиосеть
передачи данных "Доступ" (РСПД "Доступ"), которая предназначена для
передачи данных по радиоканалу и обеспечения доступа к региональным и
федеральным банкам данных ОВД удаленных сотрудников.
С завершением реализации в полном объеме ЕИТКС МВД России
будет обеспечена возможность получения информации из банков данных
общего и специального назначения сотрудникам более 4-х тысяч ОВД через
96
автоматизированные рабочие места, установленные в дежурных частях, в
комнатах разбора с задержанными, следственно-оперативных групп,
подразделениях оперативно – розыскной информации, паспортно-визовой
службы, Госавтоинспекции, экспертно-криминалистических центров,
опорных пунктах общественного порядка.
На практике любой сотрудник ОВД, имеющий соответствующий
допуск, сможет получить интересующую его информацию, аккумулируемую
в учетах всех уровней: от федерального до районного. При этом не будет
иметь значения регион пользователя и информационного ресурса. Система
позволит получать информацию оперативно, что значительно ускорит
процесс раскрытия преступлений, исполнения запросов, разрешения
заявлений и отработки сообщений граждан.
К ЕИТКС уже подключена почти четверть из запланированных
объектов, среди которых помимо центрального аппарата присутствуют
подразделения из 83 регионов и районов страны. Внедрение
автоматизированной дактилоскопической информационной системы
позволило в несколько раз увеличить эффективность дактилоскопических
экспертиз.
В ОВД по субъектам Российской Федерации, подключаемых к ЕИТКС,
увеличилась раскрываемость преступлений по "горячим следам".
Все мероприятия, проводимые в масштабах МВД России,
обеспечиваются информационной поддержкой, осуществляемой ГИАЦ и ИЦ
регионов.
Сегодня количество документов, учитываемых в ИЦ ОВД, составляет
сотни миллионов, учет большинства из них автоматизирован. Однако объем
централизованных учетов ИЦ растет и, вместе с этим, растут потребности
абонентов в доступе к этим информационным ресурсам.
В связи с этим ведется разработка "Концепции информатизации МВД
России" Поскольку все эти работы должны быть взаимоувязаны между
собой, а, в дальнейшем, обеспечено и межведомственное взаимодействие
ОВД и других органов власти в автоматизированном режиме, можно
ожидать, с одной стороны, дальнейшего повышения уровня автоматизации
центральных учетов ИЦ, проведения новых работ по внедрению новых
автоматизированных систем, а с другой – увеличения расходов на
обслуживание и поддержание работоспособности введенных в эксплуатацию
ИКТ-систем.
ЗАКЛЮЧЕНИЕ
Бурное развитие и внедрение новых информационных технологий,
основанных на цифровом представлении информации, компьютерной её
обработке, хранении и передаче по каналам компьютерных и
телекоммуникационных сетей, обусловило ускорение процесса
информатизации общества и, соответственно, поставило новые задачи перед
97
специалистами по обеспечению информационной безопасности и подняло
эти задачи на более высокий ранг важности и актуальности. Ещё в большей
степени выражена важность этих задач в системе информационного
обеспечения в органах внутренних дел. Именно система информационной
поддержки оказывает существенное влияние на качество выполняемых
органами внутренних дел функций по противодействию различного рода
угрозам криминогенного характера. Защищённость этой системы
гарантирует оперативность, конфиденциальность, а иногда и вообще
принципиальную возможность исполнения органами внутренних дел своих
функций.
В данном учебном пособии были рассмотрены различные аспекты
обеспечения информационной безопасности в органах внутренних дел.
Физические и аппаратные, программные и организационно-правовые,
криптографические и морально этические – все эти средства позволяют
организовать и поддерживать функционирование системы комплексного
обеспечения информационной безопасности в органах внутренних дел.
Обращаясь к читателям данного пособия, авторы надеются, что
предложенный материал помог им представить и осознать важную и
сложную область деятельности, связанную с обеспечением информационной
безопасности, понять проблемы, стоящие перед специалистами в этой
области, а также познакомиться с путями, методами, средствами и
инструментарием для разрешения этих проблем.
98