
- •Тема 1. Введение в проблемы информационной безопасности 9
- •Тема 2. Криптографические методы защиты информации 30
- •Тема 3. Симметричные криптосистемы 52
- •Тема 4. Асимметричные криптосистемы 81
- •Тема 5. Методы и средства защиты информации от несанкционированного доступа 105
- •Тема 6. Средства защиты от компьютерных вирусов 126
- •Введение
- •Тема 1. Введение в проблемы информационной безопасности
- •1.1. Концептуальная модель информационной безопасности
- •1.1.1. Основные понятия и определения
- •1.1.2. Взаимосвязь понятий в области информационной безопасности
- •1.2. Основные угрозы информационной безопасности и каналы утечки информации
- •1.2.1. Основные виды угроз
- •1.2.2. Каналы утечки информации
- •1.3. Основные виды атак на информацию
- •1.3.1. Атаки доступа
- •1.3.2. Атаки модификации
- •1.3.3. Атаки на отказ в обслуживании
- •1.3.4. Атаки отказа от обязательств
- •1.4. Классификация методов и средств защиты информации
- •1.4.1. Основные методы защиты информации
- •1.4.2. Неформальные средства защиты
- •1.4.3. Формальные средства защиты
- •Вопросы для повторения
- •Резюме по теме
- •Тема 2. Криптографические методы защиты информации
- •2.1. Принципы криптографической защиты информации
- •2.1.1. Шифры
- •2.1.2. Односторонние функции
- •2.1.4. Электронная цифровая подпись
- •2.1.5. Генераторы псевдослучайных последовательностей
- •2.2. Криптоанализ и виды криптоаналитических атак
- •2.3. Основные криптографические преобразования в симметричных криптосистемах
- •2.3.1. Шифры перестановки
- •2.3.2. Шифры замены (подстановки)
- •2.3.3. Шифры гаммирования
- •2.3.4. Композиционные блочные шифры
- •Вопросы для повторения
- •Резюме по теме
- •Тема 3. Симметричные криптосистемы
- •3.1. Сеть Фейстеля
- •3.2. Алгоритм криптографического преобразования данных гост 28147-89
- •3.3. Стандарт шифрования сша нового поколения
- •3.4. Комбинирование блочных шифров
- •3.5. Режимы работы блочных шифров
- •3.5.1. Режим "Электронная кодовая книга"
- •3.5.2. Режим "Сцепление блоков шифртекста"
- •3.5.3. Режим обратной связи по шифртексту
- •3.5.4. Режим обратной связи по выходу
- •3.6. Режимы работы алгоритма криптографического преобразования данных гост 28147-89
- •Вопросы для повторения
- •Резюме по теме
- •Тема 4. Асимметричные криптосистемы
- •4.1. Алгоритмы шифрования с открытым ключом
- •4.1.1. Криптосистема rsa
- •4.1.2. Криптосистемы Диффи-Хеллмана и Эль Гамаля
- •4.1.3. Криптосистема на основе эллиптических кривых
- •4.2. Алгоритмы криптографического хэширования
- •4.2.1. Алгоритм безопасного хэширования
- •4.2.2. Односторонние хэш-функции на основе симметричных блочных алгоритмов
- •4.2.3. Алгоритм хэширования гост р 34.11–94
- •4.3. Алгоритмы электронной цифровой подписи
- •4.3.1. Алгоритм цифровой подписи rsa
- •4.3.2. Алгоритм цифровой подписи Эль Гамаля (egsa)
- •4.3.3. Алгоритм цифровой подписи dsa
- •4.3.4. Алгоритмы электронной цифровой подписи гост р 34.10–94 и гост р 34.10–2001
- •Вопросы для повторения
- •Резюме по теме
- •Тема 5. Методы и средства защиты информации от несанкционированного доступа
- •5.1. Основные понятия концепции защиты от несанкционированного доступа
- •5.2. Идентификация и аутентификация
- •5.2.1 Аутентификация пользователя на основе паролей и процедуры "рукопожатия"
- •5.2.2. Проверка подлинности пользователя по наличию материального аутентификатора
- •5.2.3. Аутентификация пользователя по биометрическим характеристикам
- •5.3. Управление доступом и регистрация доступа к ресурсам асои
- •5.4. Защита информации от несанкционированного доступа в сетях
- •Вопросы для повторения
- •Резюме по теме
- •Тема 6. Средства защиты от компьютерных вирусов
- •6.1. Классификация компьютерных вирусов
- •6.1.1. Файловые вирусы
- •6.1.2. Загрузочные вирусы
- •6.1.3. Макровирусы
- •6.1.4. Сетевые вирусы
- •6.1.5. Прочие вредоносные программы
- •6.2. Методы обнаружения и удаления компьютерных вирусов
- •6.2.1. Профилактика заражения компьютера
- •6.2.2. Использование антивирусных программ
- •6.2.3. Методы обнаружения и удаления неизвестных вирусов
- •Вопросы для повторения
- •Резюме по теме
- •Практикум (лабораторный)
- •Лабораторная работа №1. Программная реализация простых шифров перестановки и замены
- •Требования к содержанию, оформлению и порядку выполнения
- •Теоретическая часть
- •Общая постановка задачи
- •Список индивидуальных данных
- •Пример выполнения работы
- •Контрольные вопросы к защите
- •Способ оценки результатов
- •Лабораторная работа №2. Генерация и исследование псевдослучайных последовательностей. Реализация потокового шифрования данных
- •Требования к содержанию, оформлению и порядку выполнения
- •Теоретическая часть
- •Общая постановка задачи
- •Список индивидуальных данных
- •Пример выполнения работы
- •Контрольные вопросы к защите
- •Общая постановка задачи
- •Список индивидуальных данных
- •Пример выполнения работы
- •Теоретическая часть
- •Общая постановка задачи
- •Список индивидуальных данных
- •Пример выполнения работы
- •Контрольные вопросы к защите
- •Способ оценки результатов
- •Лабораторная работа №5. Изучение электронной цифровой подписи и принципов шифрования с открытым ключом с использованием системы pgp
- •Требования к содержанию, оформлению и порядку выполнения
- •Теоретическая часть
- •Общая постановка задачи
- •Список индивидуальных данных
- •Пример выполнения работы
- •Рекомендуемая дополнительная литература
- •Глоссарий
Рекомендуемая дополнительная литература
ГОСТ 28147-89. Системы обработки информации. Защита криптографическая. Алгоритмы криптографического преобразования.
ГОСТ 34.10-94. Информационная технология. Криптографическая защита информации. Процедуры выработки и проверки электронной цифровой подписи на базе асимметричного криптографического алгоритма.
ГОСТ Р 34.10-2001. Информационная технология. Криптографическая защита информации. Процедуры выработки и проверки электронной цифровой подписи.
ГОСТ Р 34.11-94. Информационная технология. Криптографическая защита информации. Функции хэширования.
Мельников В.В. Защита информации в компьютерных системах. – М.: Финансы и статистика; Электроинформ, 1997. – 368 с.
Анин Б.Ю. Защита компьютерной информации. – СПб.: БХВ – Санкт Петербург, 2000. – 384 с.
Защита информации в персональных ЭВМ / А.В. Спесивцев, В.А. Вагнер, А.Ю. Крутяков и др. – М.: Радио и связь; МП ВЕСТА, 1992. – 192 с.
Расторгуев С.П. Программные методы защиты информации в компьютерах и сетях. – М.: Яхтсмен, 1993. – 188 с.
Программно-аппаратные средства обеспечения информационной безопасности. Защита программ и данных: Учебное пособие для ВУЗов / П.Ю. Белкин, О.О. Михальский, А.С. Першаков и др. – М.: Радио и связь, 2000. – 168 с.
Глоссарий
Автоматизированная система обработки информации (АСОИ) |
организационно–техническая система, представляющая собой совокупность следующих взаимосвязанных компонентов:
|
Апеллируемость информации |
гарантия того, что при необходимости можно будет доказать, что автором сообщения является именно заявленный субъект, и не может являться никто другой |
Аппаратные средства защиты |
самые различные по принципу действия, устройству и возможностям технические конструкции, обеспечивающие пресечение разглашения, защиту от утечки и противодействие несанкционированному доступу к источникам конфиденциальной информации, непосредственно входящие в состав аппаратуры защищенной АСОИ |
Атака |
действие, предпринимаемое злоумышленником, которое заключается в поиске и использовании той или иной уязвимости системы, что делает возможным реализацию угрозы информационной безопасности |
Атака доступа |
попытка получения злоумышленником информации, для просмотра которой у него нет разрешений |
Атака модификации |
попытка неправомочного изменения информации |
Атака на отказ в обслуживании (Denial-of-service, DoS) |
атака, запрещающая легальному пользователю использование АСОИ, информации или возможностей компьютеров |
Атака отказа от обязательств |
атака, направленная против возможности идентификации информации, попытка дать неверную информацию о реальном событии или транзакции |
Аутентичность информации |
гарантия того, что источником информации является именно то лицо, которое заявлено как ее автор |
Безопасная или защищенная АСОИ |
система со средствами защиты, которые успешно и эффективно противостоят угрозам безопасности |
Блочный шифр |
последовательность (с возможным повторением и чередованием) основных методов преобразования (перестановка, замена, гаммирование), применяемую к блоку (части) шифруемого текста |
Доступность информации |
свойство системы, в которой циркулирует информация, характеризующееся способностью обеспечивать своевременный беспрепятственный доступ субъектов к интересующей их информации и готовность соответствующих автоматизированных служб к обслуживанию поступающих от субъектов запросов всегда, когда в обращении к ним возникает необходимость |
Информация |
сведения о фактах, событиях, процессах и явлениях, о состоянии объектов (их свойствах и характеристиках) в некоторой предметной области, воспринимаемые человеком или специальным устройством и используемые для оптимизации принимаемых решений в процессе управления данными объектами |
Информационная безопасность |
состояние защищенности информации и поддерживающей инфраструктуры от угроз, которые могут нанести неприемлемый ущерб субъектам информационных отношений, в том числе владельцам и пользователям информации и поддерживающей инфраструктуры |
Информационная система |
организационно–упорядоченную совокупность документов (массивов документов) и информационных технологий, реализующих информационные процессы |
Информационное законодательство |
совокупность норм права, регулирующих общественные отношения в информационной сфере |
Канал утечки информации |
совокупность источника информации, материального носителя или среды распространения несущего указанную информацию сигнала и средства выделения информации из сигнала или носителя |
Комплекс средств защиты |
совокупность программных и технических средств, создаваемых и поддерживаемых для обеспечения информационной безопасности АСОИ |
Контролируемость |
гарантия того, что в любой момент может быть произведена полноценная проверка любого компонента программного комплекса |
Контроль доступа |
гарантия того, что различные группы лиц имеют различный доступ к информационным объектам, и эти ограничения доступа постоянно выполняются |
Контроль идентификации |
гарантия того, что клиент, подключенный в данный момент к системе, является именно тем, за кого себя выдает |
Конфиденциальность информации |
гарантия того, что конкретная информация доступна только тому кругу лиц, для кого она предназначена |
Криптоанализ |
совокупность методов преобразования информации, направленных на раскрытие исходного текста зашифрованного сообщения без доступа к ключу |
Криптоаналитическая атака |
любая попытка со стороны злоумышленника расшифровать шифртекст для получения открытого текста или зашифровать свой собственный открытый текст для получения правдоподобного шифртекста, не имея подлинного ключа |
Криптографическая система (криптосистема) |
система защиты информации, основанная на методах криптографии |
Криптография |
совокупность методов преобразования данных, направленных на то, чтобы сделать эти данные бесполезными для злоумышленника |
Маскировка |
метод защиты информации путем ее криптографического закрытия |
Надежность АСОИ |
гарантия того, что система ведет себя в нормальном и внештатном режимах так, как запланировано |
Несанкционированный доступ |
получение защищаемой информации заинтересованным субъектом с нарушением установленных правовыми документами или собственником прав или правил доступа к защищаемой информации |
Побуждение |
метод защиты, состоящий в создании такой обстановки и условий, при которых правила обращения с защищенными данными регулируются моральными и нравственными нормами |
Политика безопасности |
совокупность норм, правил и практических рекомендаций, регламентирующих работу средств защиты АСОИ от заданного множества угроз безопасности |
Полнота информации |
достаточность сведений для выполнения предусмотренных функций АСОИ |
Потоковый шифр |
разновидность шифра гаммирования, в которой открытый текст рассматривается, как последовательность бит, а в качестве операции сложения используется сумма по модулю два (XOR) |
Принуждение |
метод защиты, создающий угрозу материальной, административной и уголовной ответственности за нарушение правил обращения с защищенными данными |
Программные средства защиты |
средства защиты информации, функционирующие в составе программного обеспечения АСОИ |
Расшифрование |
процесс обратного преобразования шифртекста в открытый текст |
Регламентация |
метод защиты, который заключается в разработке и реализации в процессе функционирования АСОИ комплексов мероприятий, создающих такие условия технологического цикла обработки информации, при которых минимизируется риск несанкционированного доступа к информации |
Точность |
гарантия точного и полного выполнения всех команд |
Угроза информационной безопасности |
возможные воздействия на АСОИ, которые прямо или косвенно могут нанести ущерб ее безопасности |
Угроза нарушения конфиденциальности |
угроза информационной безопасности, которая заключается в том, что информация становится известной тому, кто не располагает полномочиями доступа к ней |
Угроза нарушения целостности |
угроза информационной безопасности, которая включает в себя любое несанкционированное АСОИ умышленное или неумышленное изменение информации, хранящейся в системе или передаваемой из одной подсистемы в другую |
Угроза отказа в обслуживании |
угроза информационной безопасности, которая возникает всякий раз, когда в результате преднамеренных действий, предпринимаемых санкционированным пользователем или злоумышленником, блокируется доступ к некоторому ресурсу АСОИ |
Угроза раскрытия параметров АСОИ |
угроза информационной безопасности защищенной АСОИ, которая заключается в том, что информация о средствах защиты системы становится известной злоумышленнику, что в свою очередь делает возможным реализацию угроз нарушения конфиденциальности, целостности и отказа в обслуживании |
Управление |
метод защиты информации, представляющий собой регулирование использования всех ресурсов АСОИ в рамках установленного технологического цикла обработки и передачи информации, где в качестве ресурсов рассматриваются технические средства, операционные системы, прикладные программы, базы данных, элементы данных и т.п. |
Установление препятствия |
метод защиты, физически преграждающий злоумышленнику путь к защищаемой информации |
Устойчивость к умышленным сбоям |
гарантия того, что при умышленном внесении ошибок в пределах заранее оговоренных норм система будет вести себя так, как оговорено заранее |
Ущерб информационной безопасности |
нарушение состояния защищенности информации, содержащейся и обрабатывающейся в АСОИ |
Уязвимость |
свойство АСОИ, которое делает возможным возникновение и реализацию угрозы |
Физические средства защиты |
разнообразные устройства, приспособления, конструкции, аппараты, изделия, предназначенные для создания препятствий на пути движения злоумышленников |
Фундаментальное правило криптоанализа |
стойкость шифра должна определяться только секретностью ключа |
Целостность информации |
гарантия того, что информация сейчас существует в ее исходном виде, то есть при ее хранении или передаче не было произведено несанкционированных изменений |
Цель защиты АСОИ |
противодействие угрозам безопасности |
Шифрование |
процесс получения шифртекста, т.е. преобразование открытого текста с целью сделать непонятным его смысл для посторонних |
Шифрование гаммированием |
метод шифрования, заключающийся в том, что символы открытого текста складываются с символами некоторой случайной последовательности, именуемой гаммой шифра |
Шифрование заменой (подстановкой) |
метод шифрования, заключающийся в том, что символы открытого текста заменяются символами того же или другого алфавита в соответствии с заранее обусловленной схемой замены |
Шифрование перестановкой |
метод шифрования, заключающийся в том, что символы открытого текста переставляются по определенному правилу в пределах некоторого блока этого текста |