Hozzászólás...

Alexey, jó napot!
A 8. Központ válaszában semmi sem utal arra, hogy tanúsított kriptográfiai információvédelmi eszközöket kell használni. De vannak "módszertani ajánlások ...", amelyeket az oroszországi FSB 8. központjának vezetése hagyott jóvá 2015. március 31-i 149/7/2/6-432 sz. rész:

A személyes adatok biztonságának biztosítása érdekében az ISPD-ben, a titkosított információvédelmi eszközökben történő feldolgozásuk során kellő időben megfelelőségértékelési eljárás. Az orosz FSB által hitelesített CIPF-ek listája az oroszországi FSB engedélyezési, tanúsítási és államtitk-védelmi központjának hivatalos honlapján (www.clsz.fsb.ru) található. További információ ajánlatos információkat szerezni a konkrét információbiztonsági eszközökről közvetlenül ezen eszközök fejlesztőitől vagy gyártóitól, és szükség esetén azoktól a szakosodott szervezetektől, amelyek esettanulmányokat készítettek ezekről az eszközökről;

Miért nem kötelező ez a tanúsított CIPF használatának?

Az orosz FSB 2014. július 10-én kelt 378. számú végzése, amelyben az (5) bekezdés "d" albekezdése kimondja: "olyan információbiztonsági eszközök használata, amelyek megfeleltek a jogszabályi követelményeknek való megfelelés értékelésére. Az Orosz Föderáció által az információbiztonság területén, abban az esetben, ha ilyen eszközök használata szükséges a jelenlegi fenyegetések semlegesítéséhez."

Kissé zavaró ez, "amikor ilyen eszközök alkalmazása szükséges a tényleges fenyegetések semlegesítéséhez". De mindezt a szükségszerűséget le kell írni a behatoló modellben.

De ebben az esetben is, a 2015. évi „Módszertani ajánlások...” 3. pontjában ismét az szerepel, hogy „Olyan kommunikációs csatornák (vonalak) használatakor, amelyekről nem lehet lehallgatni a rajtuk továbbított védett információkat és (vagy ) amelyekben ezen információkkal kapcsolatban nem lehet jogosulatlan műveleteket végrehajtani, Általános leírása információs rendszerek meg kell adnia:
- azon módszerek és eszközök leírása, amelyek megvédik ezeket a csatornákat a jogosulatlan hozzáféréstől;
- az ezen kommunikációs csatornák (vonalak) biztonságáról szóló tanulmányok eredményein alapuló következtetések a rajtuk keresztül továbbított védett információkhoz való jogosulatlan hozzáféréstől való, az ilyen tanulmányok lefolytatására jogosult szervezet által, hivatkozással az e következtetéseket tartalmazó dokumentumra.

Mindezt miért vagyok – igen, nincs szükség kriptográfiai információvédelmet mindig és mindenhol használni, miközben biztosítjuk a személyes adatok kezelésének biztonságát. De ehhez meg kell alkotni a szabálysértő modelljét, ahol mindez le van írva és bebizonyítva. Két esetről írtál, amikor szükséged van rájuk. De az a tény, hogy a PD nyílt kommunikációs csatornákon történő feldolgozásának biztonsága érdekében, vagy ha ezeknek a PD-knek a feldolgozása túlmutat az ellenőrzött zóna határain, használhat hitelesítetlen kriptográfiai információvédelmi eszközöket - ez nem olyan egyszerű. És megtörténhet, hogy egyszerűbb hitelesített kriptográfiai információvédelmi eszközöket használni, és minden követelményt betartani azok működése és tárolása során, mint nem hitelesített eszközöket és fenékfejeket használni a szabályozóval, aki egy ilyen helyzet láttán nagyon megpróbálja piszkálni. az orrát.

ismeretlen kommentek...

Az az eset, amikor ilyen eszközök alkalmazása szükséges a tényleges fenyegetések semlegesítéséhez: a parancs előírása Orosz FSTEC 2013. február 11-i 17. sz. (állami és önkormányzati ISPD-kre vonatkozó követelmények),

11. záradék Az információs rendszerben található információk védelmének biztosítása érdekében olyan információbiztonsági eszközöket használnak, amelyek az 5. cikk szerinti információbiztonsági követelményeknek való megfelelésről szóló kötelező tanúsítvány formájában megfeleltek a megfelelőségértékelésen. szövetségi törvény 2002. december 27-én kelt 184-FZ „A műszaki előírásokról”.

Alexey Lukatsky kommentálja...

Proximo: Az FSB ajánlásai illegitimek. A 378-as rendelet jogos, de minden jogszabály összefüggésében figyelembe kell venni, és kimondja, hogy a megfelelőségértékelés sajátosságait a kormány vagy az elnök határozza meg. Sem egyik, sem másik ilyen NPA nem adta ki a t

Alexey Lukatsky kommentálja...

Anton: az államban az igazolási kötelezettséget törvény írja elő, a 17. végzés egyszerűen megismétli azokat. És a PDN-ről beszélünk

ismeretlen kommentek...

Alexey Lukatsky: Nem. Az FSB ajánlásai illegitimek "Mennyire illegitimek? A 2015. 05. 19. sz. %40fsbResearchart.html dokumentumról beszélek, de nem a 2008. február 21-i 149/54- számú dokumentumról 144.

Korábban egy másik szakember is megkereste az FSZB-t hasonló témában, és azt mondták neki, hogy az FSZB 2008-as "Módszertana ..." és "Ajánlások ..." című dokumentumait nem szabad használni, ha ezekről a dokumentumokról van szó. . De ismételten, ezeket a dokumentumokat hivatalosan nem törölték. És úgy gondolom, hogy ezek a dokumentumok jogosak-e vagy sem, azt az FSZB felügyelői fogják eldönteni, akik már az ellenőrzés során vannak.

A törvény azt mondja, hogy meg kell védeni a PD-t. A kormány, az FSB és az FSTEC szabályzatai pontosan meghatározzák, hogyan kell védeni őket. Az FSB NPA azt mondja: "Használjon tanúsítvánnyal rendelkezőt. Ha nem szeretne tanúsítást, igazolja, hogy tudja használni. És kérjük, csatolja ehhez a következtetést egy olyan cégtől, amely rendelkezik engedéllyel ilyen következtetések kiadására." Valami ilyesmi...

Alexey Lukatsky kommentálja...

1. Minden ajánlás ajánlás, nem kötelező követelmény.
2. A 2015-ös kézikönyvnek semmi köze a PD operátorokhoz - azokra az államokra vonatkozik, amelyek az alárendelt intézmények számára fenyegetési modelleket írnak (az 1. pontra figyelemmel).
3. Az FSB-nek nincs joga ellenőrizni a PD kereskedelmi üzemeltetőit, és a kormányok számára nem éri meg a nem hitelesített kriptográfiai információvédelem alkalmazása - kötelesek hitelesített megoldásokat használni, függetlenül a PD jelenlététől. ezek az FZ-149 követelményei.
4. A szabályzat előírja, hogyan kell védekezni, és ez rendben van. De nem tudják meghatározni a jogorvoslatok megítélésének formáját – ezt csak a kormány NPA vagy az elnök teheti meg. Az FSB nem jogosult erre

ismeretlen kommentek...

Az 1119. számú rendelet szerint:

4. A személyes adatok védelmére szolgáló rendszer információbiztonsági eszközeinek kiválasztását az üzemeltető végzi az Orosz Föderáció Szövetségi Biztonsági Szolgálata és a Szövetségi Műszaki és Exportellenőrzési Szolgálat által a 4. rész szerint elfogadott szabályozási jogi aktusokkal összhangban. a „Személyes adatokról” szóló szövetségi törvény 19. cikke.
13.y. Olyan információbiztonsági eszközök használata, amelyek átmentek az Orosz Föderáció információbiztonsági jogszabályai követelményeinek való megfelelés értékelésére szolgáló eljáráson, abban az esetben, ha ilyen eszközök használata szükséges a jelenlegi fenyegetések semlegesítéséhez.

Hogyan igazolható a fenyegetés nem relevanciája a PD távközlési szolgáltató csatornáin történő továbbításakor?

Azok. ha nem SKZI, akkor látszólag
- terminál hozzáférés és vékony kliensek, de egyben a terminál információbiztonsági rendszerének adatai
a hozzáférést hitelesíteni kell.
- a csatornák távközlési védelme, a távközlési szolgáltató (szolgáltató) felelőssége.

Alexey Lukatsky kommentálja...

Az irrelevánsságot az üzemeltető határozza meg, és ehhez nincs szüksége senkire

Az információ védelmének fő feladatai azok tárolása, feldolgozása és kommunikációs csatornákon és különféle adathordozókon történő továbbítása során, amelyeket a CIPF segítségével oldottak meg: 1.

Az információk titkosságának (bizalmasságának) biztosítása. 2.

Az információk integritásának biztosítása. 3.

Információk (dokumentumok) hitelesítése. E problémák megoldásához a következőket kell végrehajtani

folyamatok: 1.

A tényleges információbiztonsági funkciók megvalósítása, beleértve:

titkosítás/dekódolás; EDS létrehozása/ellenőrzése; álbetétek létrehozása/tesztelése. 2.

A KPI eszközeinek állapotának figyelése és működésének irányítása (a rendszerben):

állapotellenőrzés: a KPI eszközei működőképességének megsértésének, jogosulatlan hozzáférési kísérletnek, kulcskompromittálódásnak az észlelése és nyilvántartása;

üzemirányítás: intézkedések megtétele a KPI eszközök normál működésétől való felsorolt ​​eltérések esetén. 3.

KZI létesítmények karbantartásának elvégzése: kulcskezelés megvalósítása;

új hálózati előfizetők csatlakozásával és/vagy nyugdíjas előfizetők kizárásával kapcsolatos eljárások lefolytatása; a CIPF azonosított hiányosságainak megszüntetése; új verziók bevezetése szoftver CIPF;

a CIPF technikai eszközeinek korszerűsítése és cseréje fejlettebbekkel és/vagy olyan eszközök cseréje, amelyek erőforrásai kimerültek.

A kulcskezelés a kriptográfiai információvédelem egyik legfontosabb funkciója, és a következő fő funkciók megvalósításából áll:

kulcsgenerálás: kulcsok vagy kulcspárok generálására szolgáló mechanizmust határoz meg, garantálva azok kriptográfiai minőségét;

kulcselosztás: meghatározza azt a mechanizmust, amellyel a kulcsok megbízhatóan és biztonságosan eljuttathatók az előfizetőkhöz;

kulcsmegőrzés: meghatározza azt a mechanizmust, amellyel a kulcsok biztonságosan és biztonságosan tárolódnak jövőbeli felhasználás céljából;

kulcs-helyreállítás: meghatározza az egyik kulcs helyreállításának mechanizmusát (új kulccsal való csere);

kulcs megsemmisítése: meghatározza azt a mechanizmust, amellyel az elavult kulcsok biztonságosan megsemmisülnek;

kulcsarchívum: olyan mechanizmus, amellyel a kulcsok biztonságosan tárolhatók a későbbi, közjegyző által hitelesített visszaszerzés érdekében konfliktushelyzetekben.

Általánosságban elmondható, hogy a kriptográfiai információvédelem felsorolt ​​funkcióinak megvalósításához olyan kriptográfiai információvédelmi rendszert kell létrehozni, amely egyesíti a CSI, a karbantartó személyzet, a helyiségek, az irodai berendezések, a különféle (műszaki, szabályozási) dokumentáció tényleges eszközeit, stb.

Mint már említettük, az információvédelem garanciáinak megszerzéséhez a KPI tanúsított eszközeit kell használni.

Jelenleg a legsúlyosabb probléma a védelem bizalmas információ. A probléma megoldására a FAPSI égisze alatt a bizalmas információk kriptográfiai védelmének funkcionálisan teljes készletét fejlesztették ki, amely lehetővé teszi a felsorolt ​​információvédelmi feladatok megoldását a legkülönbözőbb alkalmazásokhoz és felhasználási feltételekhez.

Ez a komplexum a "Verba" (aszimmetrikus kulcsok rendszere) és a "Verba-O" (szimmetrikus kulcsok rendszere) kriptográfiai magokon alapul. Ezek a kriptomagok adattitkosítási eljárásokat biztosítanak a GOST 28147-89 „Információfeldolgozó rendszerek” követelményeinek megfelelően.

Kriptográfiai védelem" és digitális aláírás a GOST R34.10-94 "Információs technológia. Az információk kriptográfiai védelme. Eljárások aszimmetrikus kriptográfiai algoritmuson alapuló elektronikus digitális aláírás fejlesztésére és ellenőrzésére" előírásainak megfelelően.

A CIPF-komplexumban szereplő alapok lehetővé teszik a védelmet elektronikus dokumentumokatés információáramlások tanúsított titkosítási mechanizmusok használatával és Elektronikus aláírás gyakorlatilag minden modern információs technológiában, beleértve a következők végrehajtását: CIPF offline módban;

biztonságos információcsere off-line módban; biztonságos információcsere on-line módban; védett heterogén, i.e. vegyes információcsere.

Megoldásokért rendszerszintű problémák a CIPF használata D. A. Starovoitov vezetésével a „Vityaz” információ komplex kriptográfiai védelmének technológiáját fejlesztették ki, amely egyszerre biztosítja az adatok kriptográfiai védelmét a rendszer minden részében: nem csak a kommunikációs csatornákban és a rendszercsomópontokban, hanem közvetlenül a felhasználói munkahelyeken is a dokumentum létrehozása során, amikor maga a dokumentum védett. Ráadásul a keretek között közös technológia A "Vityaz" egyszerűsített, egyszerű elérhető a felhasználók számára a licencelt CIPF-ek különféle alkalmazási rendszerekbe való beágyazásának technológiája, ami igen szélessé teszi ezeknek a CIPF-eknek a felhasználási körét.

Az alábbiakban az egyes felsorolt ​​módok védelmi eszközeinek és módszereinek leírása található.

A CIPF offline használata.

A CIPF-fel végzett autonóm munka során a következő típusú kriptográfiai információvédelem valósítható meg: védett dokumentum létrehozása; fájlvédelem;

védett létrehozása fájlrendszer; védett létrehozása logikai meghajtó. A felhasználó kérésére a következő típusú dokumentumok (fájlok) kriptográfiai védelme valósítható meg:

egy dokumentum (fájl) titkosítása, amely elérhetetlenné teszi annak tartalmát mind a dokumentum (fájl) tárolásakor, mind kommunikációs csatornákon vagy futárral történő továbbításakor;

betétimitátor fejlesztése, amely biztosítja a dokumentum (fájl) integritásának ellenőrzését;

EDS kialakítása, amely biztosítja az irat (irat) sértetlenségének ellenőrzését és a dokumentumot (iratot) aláíró személy hitelesítését.

Ennek eredményeként a védett dokumentum (fájl) titkosított fájllá alakul, amely szükség esetén tartalmaz EDS-t. A digitális aláírást az információfeldolgozási folyamat megszervezésétől függően az aláírt dokumentumtól különálló fájl is képviselheti. Továbbá ez a fájl kiadható hajlékonylemezre vagy más adathordozóra, futárral történő kézbesítés céljából, vagy elküldhető bármely elérhető email, például az interneten keresztül.

Ennek megfelelően a titkosított fájl e-mailben vagy egy adott adathordozón történő kézhezvételekor a kriptográfiai védelem érdekében végrehajtott műveletek végrehajtásra kerülnek fordított sorrendben(dekódolás, utánzat beillesztés ellenőrzése, digitális aláírás ellenőrzése).

A megvalósításhoz elem élettartam A következő tanúsított eszközök használhatók a CIPF-fel:

"Lexicon-Verba" szövegszerkesztő, a CIPF "Verba-O" és a CIPF "Verba" alapján megvalósítva;

szoftverkomplexum CIPF "Autonomous munkahely", a CIPF "Verba" és "Verba-O" alapján implementálva Windows 95/98/NT rendszerhez;

kriptográfiai lemezmeghajtó PTS "DiskGuard".

Védett szövegszerkesztő"Lexicon-Verba".

A Lexicon-Verba rendszer egy teljes értékű szövegszerkesztő, amely támogatja a dokumentumok titkosítását és az elektronikus digitális aláírást. A dokumentumok védelmére a Verba és a Verba-O kriptográfiai rendszereket használja. Ennek a terméknek az egyedisége abban rejlik, hogy a titkosítás és a szövegaláírás funkcióit egyszerűen beépítik a modern eszközök közé. szöveg szerkesztő. A dokumentum titkosítása és aláírása ebben az esetben speciális folyamatokból egyszerűen szabványos műveletekké válik, amikor egy dokumentummal dolgozik.

Ugyanakkor a Lexicon-Verba rendszer úgy néz ki, mint egy normál szövegszerkesztő. A szövegformázási lehetőségek közé tartozik teljes testreszabás a dokumentum betűtípusai és bekezdései; táblázatok és listák; láblécek, lábjegyzetek, oldalsávok; stílusok használata és a modern követelményeknek megfelelő szövegszerkesztő számos egyéb funkciója. A "Lexicon-Verba" lehetővé teszi dokumentumok létrehozását és szerkesztését Lexicon, RTF, MS Word 6/95/97, MS Write formátumokban.

Autonóm munkahely.

A CIPF "Autonomous Workplace" a CIPF "Verba" és "Verba-O" alapján valósul meg Windows 95/98/NT rendszerhez, és lehetővé teszi a felhasználó számára, hogy interaktív módban a következő funkciókat hajtsa végre:

a kulcsokon lévő fájlok titkosítása / visszafejtése; fájlok titkosítása / visszafejtése jelszóval; Elektronikus digitális aláírások (EDS) rögzítése/eltávolítása/ellenőrzése fájlok alá;

titkosított fájlok ellenőrzése;

EDS rögzítés + fájlok titkosítása (egy műveletben); visszafejtés + EDS eltávolítása (egy műveletben) a fájlok alatt;

hash fájl számítás.

A CIPF "Autonóm Munkahely"-et tanácsos használni azon alkalmazottak mindennapi munkájához, akiknek biztosítaniuk kell:

részére bizalmas információk továbbítása elektronikus formában kézzel vagy futárral;

bizalmas információk küldése nyilvános hálózaton, beleértve az internetet is;

védelem a bizalmas információkhoz való jogosulatlan hozzáférés ellen személyi számítógépek alkalmazottak.

Az információs rendszerek tervezésének információbiztonsági követelményei jelzik azokat a jellemzőket, amelyek az alkalmazott információvédelmi eszközöket jellemzik. Ezeket az ellátás területén a szabályozók különféle jogi aktusai határozzák meg információ biztonság, különösen az orosz FSTEC és az FSB. A cikkből kiderül, milyen biztonsági osztályok vannak, a védelmi eszközök típusai és típusai, valamint hogy hol lehet többet megtudni erről.

Bevezetés

Napjainkban az információbiztonság biztosításának kérdései fokozott figyelem tárgyát képezik, hiszen az információbiztonság nélkül mindenhol bevezetett technológiák újabb komoly problémák forrásaivá válnak.

Az orosz FSZB a helyzet súlyosságáról számol be: a kiberbűnözők által több éven át okozott károk összege világszerte 300 milliárd dollártól ezermilliárd dollárig terjedt. Az Orosz Föderáció legfőbb ügyészének tájékoztatása szerint Oroszországban csak 2017 első felében volt a bűncselekmények száma a magas technológia hatszorosára nőtt, a károk teljes összege meghaladta a 18 millió dollárt. Az ipari szektorban 2017-ben a célzott támadások számának növekedését figyelték meg világszerte. Különösen Oroszországban 22%-kal nőtt a támadások száma 2016-hoz képest.

Az információs technológiákat fegyverként kezdték használni katonai-politikai, terrorista célokra, szuverén államok belügyeibe való beavatkozásra, valamint egyéb bűncselekmények elkövetésére. Az Orosz Föderáció egy nemzetközi információbiztonsági rendszer létrehozása mellett áll.

Az Orosz Föderáció területén az információtulajdonosok és az információs rendszerek üzemeltetői kötelesek blokkolni az információkhoz való jogosulatlan hozzáférési kísérleteket, valamint folyamatosan figyelemmel kell kísérniük az IT-infrastruktúra biztonsági állapotát. Ugyanakkor az információvédelmet különféle intézkedések, köztük technikai intézkedések elfogadásával biztosítják.

Az információbiztonsági eszközök vagy információbiztonsági eszközök információvédelmet biztosítanak az információs rendszerekben, amelyek lényegében adatbázisokban tárolt információk gyűjteményét jelentik, információs technológiák, biztosítja annak feldolgozását és technikai eszközeit.

A modern információs rendszereket a különféle hardver- és szoftverplatformok használata, az összetevők területi megoszlása, valamint a nyílt adatátviteli hálózatokkal való interakció jellemzi.

Hogyan lehet megvédeni az információkat ilyen körülmények között? A vonatkozó követelményeket felhatalmazott szervek, különösen az FSTEC és az oroszországi FSB határozzák meg. A cikk keretein belül megpróbáljuk tükrözni az információbiztonsági létesítmények osztályozásának főbb megközelítéseit, figyelembe véve ezen szabályozók követelményeit. Az információbiztonsági létesítmények osztályozásának leírásának egyéb módjai, amelyek az orosz részlegek, valamint a külföldi szervezetek és ügynökségek szabályozási dokumentumaiban tükröződnek, túlmutatnak e cikk hatályán, és nem foglalkoznak tovább.

A cikk hasznos lehet kezdők számára az információbiztonság területén, mint strukturált információforrás az információbiztonsági információk osztályozásának módszereiről az orosz FSTEC (nagyobb mértékben) és röviden az orosz FSB követelményei alapján. .

Az információbiztonság nem kriptográfiai módszereinek biztosításának eljárását és tevékenységeit meghatározó struktúra az oroszországi FSTEC (korábban az Orosz Föderáció elnöke alatt működő Állami Műszaki Bizottság, Állami Műszaki Bizottság).

Ha az olvasónak látnia kellett a tanúsított információbiztonsági eszközök állami nyilvántartását, amelyet az orosz FSTEC hoz létre, akkor minden bizonnyal figyelt arra, hogy az információbiztonsági létesítmény céljának leíró részében szerepeljenek olyan kifejezések, mint az „osztály”. RD SVT”, „az NDV hiányának szintje” stb. (1. ábra).

1. ábra: A tanúsított információbiztonsági létesítmények nyilvántartásának részlete

Az információvédelem kriptográfiai eszközeinek osztályozása

Az oroszországi FSB a kriptográfiai információbiztonsági eszközök következő osztályait határozza meg: KS1, KS2, KS3, KB és KA.

A SZI osztály KS1 fő jellemzői közé tartozik, hogy képesek ellenállni az ellenőrzött zónán kívülről végrehajtott támadásoknak. Ez azt jelenti, hogy a támadási módszerek létrehozása, előkészítése és végrehajtása a kriptográfiai információbiztonsági létesítmények fejlesztésében és elemzésében szakemberek részvétele nélkül történik. Feltételezhető, hogy a rendszerrel kapcsolatos információk, amelyekben ezeket az információbiztonsági eszközöket használják, nyílt forrásokból szerezhetők be.

Ha egy kriptográfiai IPS képes ellenállni a CS1 osztály által blokkolt támadásoknak, valamint ellenőrzött zónában végrehajtott támadásoknak, akkor az ilyen IPS a CS2 osztálynak felel meg. Ugyanakkor feltételezhető például, hogy a támadás előkészítése során információk válhatnak elérhetővé az információs rendszerek védelmét, ellenőrzött zóna biztosítását stb. szolgáló fizikai intézkedésekről.

Ha lehetséges ellenállni a támadásoknak a számítógépes berendezésekhez való fizikai hozzáférés jelenlétében telepített kriptográfiai információbiztonsági eszközökkel, akkor azt mondják, hogy ezek az eszközök megfelelnek a CS3 osztálynak.

Ha a kriptográfiai információbiztonsági rendszer ellenáll a támadásoknak, amelyeket ezen eszközök fejlesztésének és elemzésének szakértői hoztak létre, beleértve a kutatóközpontokat is, akkor lehetséges volt laboratóriumi kutatás akkor a védelmi eszközök beszélgetünk a HF osztálynak való megfelelésről.

Ha a rendszerszoftverek NDV használatával foglalkozó szakembereket bevontak a támadási módszerek kidolgozásába, rendelkezésre állt a megfelelő tervdokumentáció, és elérhető volt a kriptográfiai információbiztonsági létesítmények bármely hardvereleme, akkor az ilyen támadások elleni védelem eszközökkel biztosítható. a KA osztályból.

Az elektronikus aláírás-védelmi eszközök osztályozása

Az elektronikus aláírási eszközöket, a támadásokkal szembeni ellenállástól függően, általában a következő osztályokkal hasonlítják össze: KS1, KS2, KS3, KB1, KB2 és KA1. Ez a besorolás hasonló a fentebb a kriptográfiai IPS-sel kapcsolatban tárgyalthoz.

következtetéseket

A cikk megvizsgált néhány oroszországi információbiztonsági osztályozási módszert, amelyek az információvédelem területén a szabályozó hatóságok szabályozási keretein alapulnak. A figyelembe vett osztályozási lehetőségek nem teljesek. Mindazonáltal reméljük, hogy a bemutatott összefoglaló információk lehetővé teszik az információbiztonság területén kezdő szakember számára a gyors navigációt.

Valerij Konjavszkij
A VNIIPVTI tudományos témavezetője,
tudományos tanácsadó OKB SAPR

Bármely véletlen számmal végzett művelet véletlen számot ad. A nyílt szöveghez hozzáadott véletlenszerű szekvencia véletlenszerű titkosítási szöveget ad. Hogyan jobb minőség gamma, annál kevésbé valószínű, hogy megfejti a kriptotextet. Ha a gamma valóban véletlenszerű, akkor a kriptotext nem dekódolható.

Vernam titkosítás

A kriptográfiai információvédelmi eszközök (CIPF) titkosítási eszközökre és elektronikus aláírási eszközökre (SES) oszthatók.

Nem volt túl kényelmes és meglehetősen költséges a tartományt hatalmas tekercs lyukszalag formájában továbbítani. Ezért néha problémák voltak vele újrafelhasználásés ennek következtében fontos információk kiszivárogtatásával.

Annak érdekében, hogy ne továbbítsák a lyukszalag tekercseit drága csatornákon, olyan módszereket találtak ki, amelyek segítségével egy véletlenszerű, de rövid kulcsból hosszú skálát hozhatnak létre. Abban az időben egyszerűbb volt rövid véletlenszerű kulcsot küldeni, mint egy hosszút.

CIPF minősítéssel

A modern adathordozók megjelenésével a helyzet drámaian megváltozott, és mára már nem jelent gondot gigabájt gamma előállítása és továbbítása – ha csak a DFS jó lenne. A szoftveres pszeudo-véletlen sorrendgenerátorokat (PSP) itt csak abból a kétségbeesésből lehet használni, hogy nincs jó fizikai generátor.

A kriptográfiai szabványok olyan műveletsorokat határoznak meg, amelyek lehetővé teszik a biztonságosan titkosított egyszerű szöveg megszerzését egy jó kulcs alapján. Ugyanakkor a kulcsokat továbbra is jó szenzorokon kell elkészíteni.

A szabályozó határozza meg a szabályokat, a vizsgálólaboratóriumok ellenőrzik, hogy a műveletekre, kulcsokra vonatkozó követelmények teljesülnek-e, és hogy más folyamatok nem befolyásolják ezeket a folyamatokat - így jelennek meg a tanúsított kriptográfiai információvédelmi eszközök.

Titkosítás és elektronikus aláírás

A gamma a következő tulajdonságokkal kell, hogy rendelkezzen:

• valóban véletlenszerű legyen, azaz fizikai, analóg, és nem digitális folyamatok révén alakuljon ki;
• megfeleljen a megadott egyszerű szöveg méretének, vagy meghaladja azt;
• minden üzenetre csak egyszer alkalmazzák, majd elvetik.

Az ilyen titkosítást Vernam-rejtjelnek nevezik, és ez az egyetlen titkosítás, amely abszolút kriptográfiai erősséggel rendelkezik. Erősségét most nem kell bizonygatni, ahogy K. Shannon tette ezt még 1945-ben. A gamma nagy hossza, kialakulása fizikai folyamatok és garantált pusztulás alapján - ezek a feltétele a rejtjel erejének.

A titkosításra azért van szükség, hogy csak azok férhessenek hozzá, akik hozzáférhetnek az információhoz. Az EP egy személy akaratának rögzítésére szolgál. És ha a CIPF-nek helyesen kell végrehajtania a kriptográfiai átalakításokat egy ellenőrzött környezetben, akkor ez nem elég az elektronikus aláíráshoz. Minden intézkedést meg kell tenni ennek biztosítására egy személy szabad akarata. Az FZ-63 erre irányul, ezért az egyik legfontosabb követelménye a személy által aláírt dokumentum helyes megjelenítésének követelménye. Így a CIPF-fel ellentétben a minősített SES esetében a vizualizációs eszközök ellenőrzése is hozzáadásra kerül. Természetesen a kriptográfiai algoritmusok minden szükséges ellenőrzését is elvégzik.

Az egyik vagy másik ES-séma elemzésekor a kérdés általában a következőképpen vetődik fel: "Lehetséges-e gyorsan felvenni két különböző (értelmes) üzenetet, amelyeknek ugyanaz az ES-je." A válasz itt általában negatív. Ha jó hash függvényt használunk, amelyhez nem találtak hatékony ütközési mechanizmust, egy ilyen támadás szinte mindig kudarcra van ítélve. Mihail Gruntovich (lásd: 48. o.) másként fogalmazta meg a kérdést: „Lehetséges-e két üzenet birtokában úgy kiválasztani az aláírási kulcsokat, hogy az ES egyezzen?”. És kiderült, hogy rendkívül egyszerűen elkészíthető!

Gruntovich támadás

Megfontoljuk a támadás végrehajtásának konkrét feltételeit (nagyon leegyszerűsített változatban) az ElGamal séma szerinti aláírás példájával. A séma stabilitásába vetett hit a diszkrét logaritmus-probléma (hipotetikus) összetettségén alapul, de itt nem a diszkrét matematika problémáját támadják.

A CIPF-nek hardvernek kell lennie. Tartalmazniuk kell a szükséges minőségű fizikai RNG-t, és biztosítaniuk kell, hogy ne csak az aláírási kulcs, hanem más, az algoritmusok erősségét befolyásoló kriptográfiai elemek is ne nyerhetők ki.

Vezessük be a következő jelölést:

• H egy kriptográfiai hash függvény;
  Zn számok halmaza (0,1, …, n - 1), n ​​természetes szám;
  a (mod p) egy a egész szám p természetes számmal való osztásának maradéka.

Az ElGamal aláírásgenerálási séma esetében:

• egy elegendő kapacitású p prímszám rögzített, és g egy mod p primitív elem;
• az aláírás privát kulcsa tetszőleges x szám a Zp-ből.

Az üzenet aláírásának m kiszámítása:

• a h = H(m) hash kód kiszámítása;
• egy k véletlenszámot p - 1:1 koprímszámmal választunk< k < p - 1;
• r = g k (mod p) kiszámítva;
• s = k -1 (h - xr) (mod p - 1) kiszámítva;
• az aláírás a c = (r, s) pár.

Most nézzük meg, mit kell tennie egy támadónak a támadás végrehajtásához. Hash kódokat kell generálnia:

• h 1 \u003d H (m 1), h 2 \u003d H (m 2)

és azonos k véletlenszámú aláírások:

• s = k -1 (h 1 - x 1 r) (mod p - 1) és
  s \u003d k -1 (h 2 - x 2 r) (mod p - 1).

Ez pedig azt jelenti, hogy:

h 1 - x 1 r (mod p - 1) = h 2 - x 2 r (mod p - 1).

Néhány funkció, amelyekre az SKZI használatakor figyelni kell.
1. Ha a CIPF dokumentációjában szerepel, hogy melyik operációs rendszerben használható, akkor ebben a rendszerben kell használni. Ellenkező esetben, még ha a CIPF működik is, akkor is kutatást kell végeznie az ismert CIPF új környezetbe való beágyazásának helyességéről. Ez nem nehéz (viszonylag) a hardveres CIPF, de meglehetősen nehéz a szoftver.
2. Ha a hardveres kriptográfiai információvédelmi rendszer nem rendelkezik ellenőrzött DSC-vel és nincsenek bevált önellenőrző eszközök (egyébként az univerzális chipkártya mikroáramkörökre készült kriptográfiai információvédelmi eszközökben nem lehet), akkor ügyeljen a beágyazási dokumentumokra és működését. Mivel valahonnan hozzá kell adni az entrópiát, és tesztelni kell, kiderülhet, hogy ez a CIPF nagyon rövid ideig, például két-három napig, önállóan használható. Ez nem mindig kényelmes.
3. Ha felajánlanak neked bármilyen tokent, és azt mondják, hogy az a KS2 osztálynak és afölötti tanúsítvánnyal rendelkezik, ne higgye el. Valószínűleg a dokumentáció előírja, hogy ezt a tokent biztonságos környezetben kell használni. elektronikus zár. E nélkül az osztály nem lesz magasabb, mint a CC1.

Mint látható, az x 1 és x 2 kulcsok kiválasztásakor, hogy a fenti feltétel teljesüljön, az aláírások megegyeznek, annak ellenére, hogy az aláírt üzenetek eltérőek! Vegye figyelembe, hogy az x 2 egy ismert x 1-ből történő kiszámításához a szükséges számítások minimálisak a szubexponenciális diszkrét logaritmus-problémához képest.

Azonban nem minden olyan ijesztő. Az a tény, hogy a kapott eredmények semmilyen módon nem teszik hiteltelenné a az EP kriptográfiai erőssége. Megmutatják a sebezhetőség lehetőségét helytelen alkalmazás EP mechanizmusok.

Ez a példa egyértelműen bemutatja azokat a sebezhetőségeket, amelyek akkor merülnek fel, ha a CIPF nem megfelelően van implementálva. A leírt támadás akkor lehetséges, ha a felhasználó ismeri aláírási kulcsát, és meg tud találni egy véletlen számot.

Létezik radikális módon az ilyen típusú támadások leküzdése - ehhez csak olyan eszközre van szüksége, amelyben:

• aláíró kulcs jön létre;
• az aláírás-ellenőrző kulcs kiszámítása megtörténik;
• a nyilvános kulcsot exportálják, beleértve a hitelesítési hatósághoz történő hitelesítést is;
• az aláírási kulcs ES generálására csak a készüléken belül használható, exportálása lehetetlen! Újabban az ilyen eszközöket nem eltávolítható kulcsú eszközöknek nevezik;
• a véletlen szám soha nem jelenik meg a számítógépes környezetben, a készüléken belüli alkalmazás után generálódik és megsemmisül.

Innentől egyértelmű, hogy a megbízhatóbb lehetőség az EPS és a CIPF, amelyek felszerelés formájában készülnek. Ebben az esetben biztosítható az RNG megfelelő minősége és az aláírási kulcs tárolásának megbízhatósága.

Titkosítás

Térjünk vissza most a titkosításhoz, és beszéljünk arról, hogy mikor és miért érdemes használni magánszemélyek valamint jogi.

Először is emeljük ki a titkosítás fő típusait, ezek az előfizetői és a csatorna. A nevekből következően az előfizetői titkosításnál az előfizető először titkosítja az információt (fájl, dokumentum), majd zárt formában továbbítja a csatornának. A csatornatitkosítással magát a csatornát védik kriptográfiai módszerekkel, és az előfizetőnek nem kell aggódnia az információk titkosítása miatt, mielőtt azokat a csatornán továbbítaná. Ha a csatorna egy pont-pont kapcsolat, akkor a rendszer csatornakódolókat használ. Ha a csatorna nem vezetékek, hanem egy aktív struktúra, mint az internet, akkor nem kell mindent titkosítani, csak az adatokat. A címeket nem lehet torzítani, különben a csomagok egyszerűen nem jutnak el a címzetthez. Itt jönnek szóba a virtuális magánhálózatok (VPN). A legismertebb protokollok az IPsec és az SSL. Szinte mindegyik elérhető a piacon VPN-eszközök végrehajtani ezen protokollok egyikét.

VPN

Annak érdekében, hogy tudatosan válasszon egy vagy másik eszközt, meg kell értenie, miben különböznek egymástól, és milyen nehézségekbe ütközik ezen eszközök használata során. Íme a minimum dolgok, amelyeket szem előtt kell tartani:

• A csatornák kriptográfiai védelmét kell alkalmazni, ha fennáll annak a veszélye, hogy az Ön által továbbított adatok annyira érdekesek a behatoló számára, hogy csatlakozik a csatornához, és elkezdi "hallgatni" az egész adatcserét. Természetesen el kell kezdeni a csatornák védelmét a belső hálózat megbízható védelme után, mivel egy bennfentes általában olcsóbb, mint egy csatorna elleni támadás; 1 mindkét protokoll - ezeket a protokollokat nem ügyfelekkel, hanem hálózatokkal való interakcióra tervezték, ezért nehéz konfigurálni őket. Ezért a hálózatbiztonsági vezérlők kritikusak, és először azokat kell kiválasztani;
• a TCP/IP protokollveremben az IPsec az IP rétegben, míg az SSL az IP rétegben működik. TCP szint. Vagyis ha az IPsec inkább rendszerszinten nyújt védelmet, akkor az SSL - alkalmazásszinten. Mivel az IPsec sokkal "lejjebb" működik, így sokat "beépül" a védelmi területen több protokollok, mint az SSL, ami természetesen jobb;
• VPN működtetésekor az elsődleges szempont a kulcskezelés. A kulcsokat időben ki kell adni, megváltoztatni – egyszóval kezelni kell. Minden CIPF-nek saját kulcsgeneráló és -kezelési rendszere van. Ha már használ valamelyiket kulcsrendszer használd tovább. Ne indítson "állatkertet" - még egy rendszert is nehéz fenntartani, sőt több - szinte elviselhetetlen feladat;
• ha a feladata számos, térben elosztott informatizációs objektum működésének biztosításához kapcsolódik, akkor használja a VPN-t. Ez csak azokra a tárgyakra vonatkozik, amelyek között intenzív információcsere védett adatok, amelyek annyira érdekelhetik a behatolót, hogy készen áll a csatornák "hallgatására". Ha minden nem működik megfelelően, próbálja meg korlátozni magát az előfizetői kriptográfiai adatok védelmére.

Előfizető CIPF

Nem (szabványok által meghatározott) algoritmusok jellemzik őket, hanem olyan segédprogramok, amelyek lehetővé teszik ezeknek a CIPF-eknek a használatát, és a teljesítendő feltételek. Kívánatos, hogy ezeknek az eszközöknek a használata kényelmes legyen.

És ami a legfontosabb - emlékezzen a védőfelszerelések elegendőségére. Nincs szükség drága CIPF használatára, ahol nélkülözheti őket.

És még valami: vannak CIPF és SEP, amelyek megfelelnek az összes megvitatott követelménynek. KV2 osztályig. Csak azért nem nevezem meg őket, hogy a cikk ne legyen reklám.

Irodalom

1. Konyavsky V.A. Számítógépes bűnözés. T. II. - M., 2008.
2. Jascsenko V.V. Bevezetés a kriptográfiába. Új matematikai tudományágak. - M., 2001.