10. Безпека роботи в Інтернеті

Інтернет є не тільки засобом спілкування й універсальною довід­ковою системою, у ньому циркулюють договірні й фінансові зобо­в'язання, потреба захисту яких як від перегляду, так і від фальсифі­кації очевидна.

Принципи захисту інформації в Інтернеті спираються на визна­чення інформації. Інформація — це продукт взаємодії даних й адек­ватних їм методів. Якщо в ході комунікаційного процесу дані пере­даються через відкриті системи (а Інтернет належить саме до таких), то виключити доступ до них сторонніх осіб неможливо навіть теоре­тично. Відповідно, системи захисту зосереджені на іншій компонен­ті інформації — на методах. їх принцип дії заснований на тому, щобвиключити або, принаймні, утруднити можливість підбору адекват­ного методу для перетворення даних в інформацію.

Один з підходів полягає у тому, що до документа застосовується шифрування, яке ґрунтується на використанні ключа, після чого документ стає недоступним для читання звичайними засобами. Його може прочитати тільки той, хто знає ключ. Якщо в процесі обміну інформацією для шифрування й читання користуються тим самим ключем, то такий криптографічний процес є симетричним.

Основний недолік симетричного процесу полягає в тому, що перш ніж почати обмін інформацією, слід виконати передачу клю­ча, а для цього знову-таки потрібен захищений зв'язок, тобто про­блема повторюється, хоча й на іншому рівні. Якщо розглянути оплату клієнтом товару чи послуги за допомогою кредитної карти, то виходить, що торговельна фірма має створити по одному ключу для кожного свого клієнта і якимось чином передати їм ці ключі. Це дуже незручно.

Тому нині в Інтернеті використовують асиметричні криптогра­фічні системи, засновані на використанні не одного, а двох ключів. Відбувається це в такий спосіб. Компанія для роботи з клієнтами створює два ключі: один відкритий (public — публічний), а інший закритий (private — особистий). Насправді це ніби дві "половинки" одного ключа, пов'язані одна з одною.

Ключі створено так, що повідомлення, зашифроване однією по­ловинкою, можна розшифрувати тільки іншою (не тією, якою воно було закодоване).

Створивши пари ключів, торговельна компанія поширює публіч­ний ключ (відкриту половинку) і надійно зберігає закритий (свою половинку). Як публічний, так і закритий ключі — це певна кодова послідовність. Публічний ключ компанії може бути опублікований на її сервері, звідки кожен бажаючий зможе його одержати. Якщо клієнт хоче зробити фірмі замовлення, він візьме її публічний ключ та за допомогою нього закодує своє повідомлення про замовлення й дані про власну кредитну картку. Після кодування це повідомлення може прочитати тільки власник закритого ключа. Ніхто з учасників ланцюжка, яким пересилається інформація, не в змозі це зробити. Навіть сам відправник не може прочитати власне повідомлення, хоча йому добре відомий його зміст.

Якщо фірмі потрібно буде відправити клієнту квитанцію про те, що замовлення прийняте до виконання, вона закодує її своїм закри­тим ключем. Клієнт зможе прочитати квитанцію, скориставшись наявним у нього публічним ключем цієї фірми. Він може бути впев­нений, що квитанцію йому відправила саме ця фірма, оскільки ні­хто інший доступу до закритого ключа фірми не має.

Ми розглянули, як клієнт може переслати організації конфіден­ційні дані (наприклад, номер електронного рахунку). Так само він може спілкуватися і з банком, даючи йому розпорядження про пере­рахування своїх коштів на рахунки інших осіб та організацій. Йому не потрібно їхати в банк і стояти в черзі — усе можна зробити, не від­ходячи від комп'ютера. Однак тут виникає проблема: як банк дові­дається, що розпорядження надійшло саме від цієї особи, а не від зловмисника, що видає себе за нього. Це питання вирішується за до­помогою так званого електронного підпису.

Якщо треба створити для себе електронний підпис, то за допомо­гою спеціальної програми створюються ті самі два ключі: закритий і публічний. Публічний передається банку. Якщо потрібно відправи­ти доручення банку на операцію з розрахунковим рахунком, воно кодується публічним ключем банку, а свій підпис під ним кодується власним закритим, ключем. Банк робить навпаки. Він читає дору­чення за допомогою свого закритого ключа, а підпис — за допомо­гою публічного ключа поручителя. Якщо підпис читається, банк може бути впевнений, що доручення йому відправила саме та особа.

Системою асиметричного шифрування забезпечується діловод­ство в Інтернеті. Завдяки їй кожен з учасників обміну може бути впевнений, що отримане повідомлення відправлене саме тим, ким воно підписане. Однак тут виникає ще багато проблем, наприклад, реєстрація дати відправлення повідомлення. Це відбувається тоді, коли через Інтернет укладаються договори між сторонами. Відправ­ник документа може легко змінити поточну дату засобами настрою­вання операційної системи. Тому часто дата й час відправлення елек­тронного документа не мають юридичної сили. У тих самих випад­ках, коли це важливо, виконують сертифікацію дати / часу.

Сертифікація дати здійснюється за участю третьої, незалежної сторони. Наприклад, це може бути сервер організації, авторитет якої у цьому питанні визнають обоє партнерів. У такому випадку доку­мент, що зашифрований відкритим ключем партнера й має свій електронний підпис, відправляється спочатку на сервер організації, яка сертифікує. Там він одержує "приписку" із вказівкою точної дати й часу, зашифровану закритим ключем цієї організації. Пар­тнер декодує зміст документа, електронний підпис відправника й позначку про дату за допомогою своїх "половинок" ключів. Уся ро­бота автоматизована.

Сертифікація веб-вузлів. Сертифікувати можна не тільки дати. При замовленні товарів в Інтернеті важливо переконатися в тому, що сервер, який приймає замовлення й платежі від імені фірми, справді її представляє. Той факт, що він поширює її відкритий ключ і володіє її закритим ключем, ще нічого не доводить, оскільки за час, який пройшов після його створення, він міг бути скомпрометований. Підтвердити дійсність ключа може третя організація шляхом видачі сертифіката продавцю. У сертифікаті зазначено, коли він виданий і на який термін. Якщо продавцю стане відомо, що його закритий ключ скомпрометований, він сам повідомить сертифікаційний центр, старий сертифікат буде анульовано, створено новий ключ і видано новий сертифікат.

Перш ніж виконувати платежі через Інтернет або відправляти дані про свою кредитну картку, варто перевірити наявність діючого сертифіката в одержувача шляхом звернення до сертифікаційного центру. Це називається сертифікацією веб-вузлів.

Засоби для перевірки сертифікатів часто мають браузери. Зокре­ма, у браузері Microsoft Internet Explorer доступ до центрів сертифі­кації здійснюється командою СЕРВІС / ВЛАСТИВОСТІ ОГЛЯДА­ЧА / ЗМІСТ / СЕРТИФІКАТИ / ДОВІРЕНІ КОРЕНЕВІ ЦЕНТРИ СЕРТИФІКАЦІЇ.

Безпека персонального комп'ютера в Інтернеті — проблема комп­лексна, адже джерела небезпеки можуть бути різними. Найповніше захистити свій комп'ютер допоможе додаткове спеціальне програм­не забезпечення.

Міжмережевий екран, або брандмауер (firewall), — комплекс програмних засобів для контролю та фільтрації мережевих пакетів (трафіку) на різних рівнях, які не підходять під критерії, визначені в конфігурації. Основним завданням мережевого екрана є захист комп'ютерних мереж або окремих вузлів від несанкціонованого до­ступу.

Антивірусне ПЗ (антивірус) — це комп'ютерна програма, яка намагається виявити, запобігти розмноженню й видалити комп'ю­терні віруси та інші шкідливі програми. Є багато як платних, так і безкоштовних антивірусів. Важливо якнайчастіше обновляти базу даних вірусів.

Anti-Spyware — програмне забезпечення, що дає змогу видаляти з комп'ютера будь-які види шкідливого ПЗ(spyware, adware, malware, trojans, dialers, worms, keyLoggers, Hijackers та ін.), відновлювати порушені записи в системному реєстрі, підвищувати загальну безпе­ку комп'ютера.

Computer access protection — ПЗ захисту доступу, що запобігає відкриванню вашого комп'ютера й захищає його від закулісного (backdoor) доступу з Інтернету. Знадобиться, якщо до вашого ком­п'ютера мають доступ сторонні люди.

Registry maintenance — програмне забезпечення очищення реє­стру. Чистить реєстр від сміття, шкідників та вірусів, які прикрі­плюються до ваших додатків системного реєстру Windows, і можуть залишати біти й частини себе навіть після того, як ваш комп'ютер буде очищений антивірусом.

Internet tracks erasing — програми знищення слідів вашої діяль­ності на комп'ютері і в Інтернеті.

Основні поняття

• Інтернет.

• IP-адреса.

• Домен.

• Система доменних імен (DNS).

• Уні­фікований локатор ресурсу (URL).

• Уніфікований ідентифікатор ре­сурсу (URI).

• Форма запису URL.

• Протокол.

• Протокол TCP.

• Протокол IP.

• Маршрутизатор.

• Інтернет-сервіс.

• Інтерактивні сервіси.

• Прямі сервіси.

• Сервіси відкладеного читання.

• Електронна пошта.

• Прото­коли електронної пошти.

• Електронні телеконференції.

• FTP-обмін даними.

• Служба IRC.

• Служба World Wide Web.

• Веб-сторінка.

• Веб-вузол.

• Гіпертекст.

• Гіперпосилання.

• HTML-документ.

• Тег. Веб-серфінг.

• Веб-навігація.

• Провайдер.

• Модем.

• Браузер.

• FTP-клієнт.

• Пош­товий клієнт.

• Менеджер завантаження.

• Пошуковий каталог.

• Пошу­ковий покажчик.

• Автоматична каталогізація.

• Модель векторного інформаційного простору.

• Простий пошук.

• Розширений пошук.

• Кон­текстний пошук.

• Спеціальний пошук.

• Мережевий етикет.

• Шифру­вання.

• Симетричне та несиметричне шифрування.

• Електронний під­пис.

• Електронний сертифікат.

• Міжмережевий екран.

Питання для контролю знань студентів:

1. Назвіть способи підключення до Інтернету.

2. Розкажіть про адміністративний устрій Інтернету.

3. Хто фінансово забезпечує функціонування Інтернету?

4. Що таке IP-адреси і доменні імена? Як вони співвідносяться?

5. Розкрийте сутність принципу ідентифікації комп'ютерів з використанням ІР-адрес.

6. Яку інформацію можна отримати з ІР-адреси?

7. З якою метою використовуються доменні імена комп'ютерів?

8. Яку роль в Інтернеті відіграє служба доменних імен?

9. За якими принципами формуються доменні імена?

10. Як функціонує система DNS?

11. У чому полягає сутність поняття "DNS-сервери"?

12. Де і коли було розроблено систему World Wide Web?

13. Які концепції покладені в основу веб?

14. Визначте сутність термінів "гіпертекст" і "гіперпосилання".

15. Яке призначення браузерів? Охарактеризуйте найпопулярніші з них.

16. Охарактеризуйте структуру та призначення URL-адреси.

17. Що розуміють під терміном "веб-документ"?

18. Розкажіть про призначення HTML.

19. Що таке HTML-документ за синтаксичною структурою?

20. Що означає термін "тег"?

21. Визначте сутність терміна "електронна поштова скринька?

22. Як здійснити обмін даними між клієнтом і сервером на базі протоколу SMTP?

23. Яку структуру має e-mail-адреса?

24. Яке призначення протоколів РОР та ІМАР?

25. Що таке конференції UseNet?

26. Як розповсюджуються статті телеконференцій?

27. Як класифікуються пошукові сервери за принципом добору інформації?

28. Назвіть та охарактеризуйте методи захисту від несанкціонованого доступу.

29. Як використовуються криптографічні системи для захисту даних в Інтернеті?

30. Розкрийте сутність технології шифрування подвійним ключем.

31. З якою метою і як здійснюється сертифікація ключів шифрування?

32. Що таке мережевий етикет?

44