68. Электронная подпись

Электро́нная по́дпись (ЭП), Электро́нная цифровая по́дпись (ЭЦП) — информация в электронной форме, присоединенная к другой информации в электронной форме (электронный документ) или иным образом связанная с такой информацией. Используется для определения лица, подписавшего информацию (электронный документ)

Назначение и применение эп

Электронная подпись предназначена для идентификации лица, подписавшего электронный документ, и является полноценной заменой (аналогом) собственноручной подписи в случаях, предусмотренных законом^[2].

Использование электронной подписи позволяет осуществить:

• Контроль целостности передаваемого документа: при любом случайном или преднамеренном изменении документа подпись станет недействительной, потому что вычислена она на основании исходного состояния документа и соответствует лишь ему.

• Защиту от изменений (подделки) документа: гарантия выявления подделки при контроле целостности делает подделывание нецелесообразным в большинстве случаев.

• Невозможность отказа от авторства. Так как создать корректную подпись можно, лишь зная закрытый ключ, а он должен быть известен только владельцу, то владелец не может отказаться от своей подписи под документом.

• Доказательное подтверждение авторства документа: Так как создать корректную подпись можно, лишь зная закрытый ключ, а он должен быть известен только владельцу, то владелец пары ключей может доказать своё авторство подписи под документом. В зависимости от деталей определения документа могут быть подписаны такие поля, как «автор», «внесённые изменения», «метка времени» и т. д.

Виды электронных подписей в Российской Федерации

Федеральный закон РФ от 6 апреля 2011 г. № 63-ФЗ «Об электронной подписи» устанавливает следующие виды ЭП:

• Простая электронная подпись (ПЭП);

• Усиленная неквалифицированная электронная подпись (НЭП);

• Усиленная квалифицированная электронная подпись (КЭП).

69. Защита корпоративных сетей

В общем случае существуют следующие базовые виды угроз безопасности [6]

· Нарушение конфиденциальности

· Нарушение целостности

· Нарушение доступности

· Нарушение наблюдаемости

· Нарушение аутентичности

Каждой приведенной выше угрозе соответствует соответствующая предоставляемая услуга защищенной системы, т.е., услуга конфиденциальности, целостности, доступности, наблюдаемости и аутентичности соответственно. Система при этом считается защищенной или безопасной, если обеспечивает все вышеперечисленные услуги [7].

Все угрозы для корпоративных сетей в общем случае могут быть поделены на две категории [7]:

· угрозы, исходящие от злоумышленника

· угрозы, связанные с реализацией, поддержкой или с нарушением среды функционирования КИС

Угрозы, исходящие от злоумышленника [7]:

· Перехват (и возможно разглашение) конфиденциальной информации – нарушение конфиденциальности.

· Не санкционированные источником модификация, формируемой им информации, либо создание информации от его имени – нарушение целостности.

· Ложный отказ источником факта формирования и передачи информации определённому получателю в заданное время – нарушение аутентичности.

· Ложное утверждение получателем факта получения информации от определённого источника в заданное время – нарушение аутентичности.

· Ложное утверждение источником факта формирования и передачи информации определённому получателю в заданное время – нарушение аутентичности.

· Ложный отказ получателем факта получения информации от определённого источника в заданное время – нарушение аутентичности.

· Несанкционированное изменение алгоритмов функционирования некоторой подсистемы КИС – возможна любая базовая угроза.

· Блокирование работоспособности некоторой подсистемы ИТС (web, pop, smtp сервера) – нарушение доступности.

Угрозы, связанные с реализацией, поддержкой или с нарушением внутренней среды функционирования КИС :

· неверная с точки зрения безопасности реализация и развертывание продукта;

· неверная поддержка и администрирование продукта;

· нарушение среды функционирования продукта;

70. Синтез оптимальной системы защиты

ффективностью систем защиты информации будем понимать эффективность ее использования в качестве активного средства в операции обеспечения конфиденциальности обработки, хранения и передачи информации.

При синтезе оптимальных систем защиты исходными должны явиться следующие два  положения:

• выбор математически продуктивного критерия оптимальности в соответствии с  архитектурой системы защиты и технологией обработки информации на объекте;

• четкая математическая формулировка задачи, учитывающая все априорные сведения и позволяющая решить ее в соответствии с принятым критерием.

Итогом решения задачи синтеза оптимальной системы защиты и его конечной целью должны быть четыре содержательных результата:

• архитектура системы защиты;

• количественная оценка качества ее функционирования;

• оценка практической чувствительности разработанных моделей к отклонениям от априорных данных;

• физическая реализуемость синтезируемых систем защиты в современных системах обмена данными (соответствие технологии обработки информации уровню ее защиты).