Методичні вказівки щодо використання програмного продукту pgp зля захисту інформації в економічних інформаційних системах

1. Види загроз безпеці інформації в економічних інформаційних системах (еіс) та основні технологічні засоби для захисту інформації

1.1. Основні види загроз безпеці інформації в еіс

Захист інформації дуже важливий для економічних систем незалежно від того, засновані вони на фізичних чи на електрон­них трансакціях. У реальному світі приділяється багато уваги фізичній безпеці, а у світі комп’ютерних інформаційних систем доводиться турбуватися про засоби захисту даних, комунікацій і трансакцій. Маючи справу з мережними комп’ютерами, варто пам’ятати про існування декількох імовірних загроз. Вони перелічені в табл. 1 поряд з рішеннями, що дозволяють організувати і значно підвищити захищеність інформації, у тому числі й у ситуаціях, що не пов’язані з електронним бізнесом, наприклад, при відправленні конфіденційної інформації електронною поштою.

Таблиця 1

Види загроз безпеці інформації в еіс та методи її захисту

Загроза	Рішення	Дія	Технологія
Дані навмисно перехоплюються, читають­ся або змінюються	Шифрування	Кодування даних, що перешкоджає їх прочитанню або перекручуванню	Симетричне або асиметричне шифрування
Користувачі ідентифікують себе неправильно (з метою шахрайства)	Аутенти­фікація	Перевірка істинності відправника й одержувача	Цифрові підписи та цифрові печатки
Користувач одержує несанкціонований доступ з однієї мережі в іншу	Брандмауер	Фільтрація трафіка, що надходить у мережу або на сервер	Брандмауери, віртуальні приватні мережі

1.2. Електронний цифровий підпис (ецп) та засоби його реалізації

Електронний цифровий підпис (ЕЦП) — це послідовність символів (або кодів), що дозволяє однозначно зв’язати автора документа, зміст документа і власника ЕЦП. Логічний характер електронного підпису робить його незалежним від матеріальної природи документа. З його допомогою можна позначити, а згодом аутентифікувати документи, що мають електронну природу (виконані на магнітних, оптичних, кристалічних та інших носіях, розподілені в комп’ютерних мережах тощо).

Засіб ЕЦП — це програмне і/чи апаратне забезпечення, призначене для генерації пари ключів (закритого і відкритого) і автоматизованого їх застосування при шифруванні чи дешифруванні електронного підпису.

В основі механізму роботи засобів ЕЦП лежать криптографічні методи (методи шифрування), а це дозволяє розширити функціональні властивості підпису. На відміну від рукописного електронний підпис може виступати не тільки засобом ідентифікації (ідентифікація документа - підтвердження його відношення до особи, що поставила підпис), але й засобом аутентифікації документа (аутентифікація – забезпечення цілісності і незмінності документа). В електронний документ, підписаний ЕЦП, не можна внести зміни, не порушивши підпис. Факт невідповідності підпису змісту документа виявляється програмними засобами, і учасник електронної угоди одержує сигнал про неадекватність документа і підпису.

Щоб послідовність символів, що являють собою повідомлення, могла однозначно ідентифікувати її автора, необхідно аби вона мала унікальні ознаки, відомі тільки відправнику й одержувачу повідомлення. З незапам’ятних часів це досягається застосуванням засобів шифрування (більш загальний термін — криптографія). Якщо обидві сторони використовують той самий метод шифрування повідомлень, відомий тільки їм, то можна сказати про те, що вони спілкуються в захищеному каналі зв’язку. У захищеному каналі кожна зі сторін одержує відносну впевненість у тому, що:

а) автором повідомлення дійсно є партнер (ідентифікація парт­нера);

б) повідомлення не було змінено в каналі зв’язку (аутентифікація повідомлення).

Метод шифрування — це формальний алгоритм, що описує порядок перетворення вихідного повідомлення в результуюче.

Ключ шифрування — це набір параметрів (даних), необхідних для застосування методу. Існує безліч методів (алгоритмів) шифр

Існують два методи шифрування: симетричне і несиметричне.

Симетричність полягає в тому, що обидві сторони використовують той самий ключ. Яким ключем повідомлення шифрувалося, тим самим ключем воно і дешифрується (рис. 1)

Рис. 1. Захист повідомлення симетричним ключем (при обміні повідомленнями між партнерами А та Б)

Несиметрична криптографія використовує спеціальні математичні методи, розроблені в результаті розвитку нових галузей математики в останні десятиліття. Після застосування одного з таких засобів утворюється пара взаємозалежних ключів, що мають унікальну властивість: те, що зашифровано одним ключем, може бути дешифровано тільки іншим, і навпаки. Власник пари ключів може залишити один ключ собі, а інший ключ опублікувати. Публікація відкритого ключа може відбуватися прямим розсиланням через незахищений канал, наприклад, електронною поштою. Ще зручніше виставити відкритий ключ на своєму (чи орендованому) Web-сервері, де його зможе одержати кожен бажаючий. Ключ, залишений для себе, називається закритим, чи особистим, ключем (private). Опублікований ключ називається відкритим, чи публічним (public) (рис. 2).

Рис. 2. Захист повідомлення закритими ключами (при обміні повідомленнями між партнерами А та Б)