56. Роль внутренней и внешней среды в управлении сзи (определение, характеристики). Их влияние на политику безопасности предприятия. Основные свойства управления сзи на предприятии.

Внутренняя среда в управлении:

1. Цель

2. Задачи

3. Структура

4. Технология

5. Ресурс

Аспекты человеческого фактора

• поведение людей по отдельности

• поведение людей в группе

• поведение руководителя в роли лидера

Внешняя среда:

Прямого воздействия – законы, государственные органы, конкуренты, потребители, персонал, агенты, контрагенты

Косвенного воздействия – состояние экономики, политические факторы, НТР, социально-культурное воздействие.

Свойства организационного управления:

1. целостность

2. обособленность

3. централизованность

4. адапитвность

5. совместимость

6. обратная связь

7. эмерджентность

8. синергичность

9. неопределенность данных

10. многокритериальность

11. мультипликативность

12. стохастичность

13. порог сложности

14. редкая повторяемость ситуации

15. фактор времени

11 Праграммно-аппаратная защита информации

57. Идентификация, аутентификация и авторизация пользователя (понятие идентификации, задача идентификации пользователя, понятие идентифицирующей информации, понятия аутентификации и авторизации, понятия «трех А» (Triple A или AAА) и «четырех А», аутентификационный фактор, многофакторная аутентификация, понятие и примеры протоколов аутентификации, локальная и удаленная аутентификация, усиленная аутентификация).

Идентификация — это процесс распознавания элемента системы, обычно с помощью заранее определенного идентификатора или другой уникальной информации - каждый субъект или объект системы должен быть однозначно идентифицируем.

Общая задача идентификации пользователя сводится к выяснению, имеет ли пользователь право доступа к вашей информации (или вашей сети) в целом. как правило, для решения данной задачи используются средства операционной системы, которая функционирует на вашем предприятии. Пользователь имеет имя, пароль или другие признаки, определяющие, имеет ли он доступ к какому-либо разделу предоставляемой вами информации. Эти признаки проверяются средствами операционной системы непосредственно при первой попытке подключения пользователя к вашей сети. Например, при использовании Windows NT вы можете предоставлять пользователю имя и пароль, контролируемые операционной системой.

Аутентификация — это проверка подлинности идентификации пользователя, процесса, устройства или другого компонента системы (обычно осуществляется перед разрешением доступа).

По РД Идентификация - Присвоение субъектам и объектам доступа идентификатора и (или) сравнение предъявляемого идентификатора с перечнем присвоенных идентификаторов.

По РД Аутентификация - Проверка принадлежности субъекту доступа предъявленного им идентификатора; подтверждение подлинности.

Авторизация — процедура предоставления субъекту определенных прав доступа к ресурсам системы после успешного прохождения им процедуры аутентификации. Для каждого субъекта в системе определяется набор прав, которые он может использовать при обращении к её ресурсам.

Идентифицирующая информация – информация, по которой возможно установить субъект доступа.

Администрирование - процесс управления доступом субъектов к ресурсам системы. Данный процесс включает в себя:

• создание идентификатора субъекта (создание учётной записи пользователя) в системе;

• управление данными субъекта, используемыми для его аутентификации (смена пароля, издание сертификата и т. п.);

• управление правами доступа субъекта к ресурсам системы.

Аудит - процесс контроля (мониторинга) доступа субъектов к ресурсам системы, включающий протоколирование действий субъектов при их работе с ресурсами системы в целях обеспечения возможности обнаружения несанкционированных действий.

«3А» включает в себя процедуры аутентификации, авторизации и (безопасного) администрирования.

Сегмент «3А» информационной безопасности – ключ к развертыванию электронной коммерции. Аутентификация, авторизация и администрирование позволяют предприятиям открыть их внутренние сети, серверы, приложения и данные для внешнего доступа через глобальные сети.

«4А» включает в себя аутентификацию, авторизацию, администрирование и аудит. В данных решениях выделяют две основные функции:

1. управления – администрирование и аудит;

2. право применения в режиме реального времени(real-time enforcement) – авторизация и аутентификация.

Способы аутентификации пользователей различают прежде всего аутентификационными факторами.

Аутентификационный фактор – определенный вид информации, предоставляемфй субъектом системе при его аутентификации.

Многофакторная аутентификация – аутентификация, в процессе которой используются аутентификационные факторы нескольких типов.

Аутентификация по многоразовым паролям

Учетные записи пользователей современных операционных систем включают в себя службу аутентификации, которая может хранить простейший идентификатор (login) и пароль (password) пользователя в своей базе данных. При попытке логического входа в сеть пользователь набирает свой пароль, который поступает в службу аутентификации. По итогам сравнения пары login/password с эталонным значением из базы данных учетных записей пользователей пользователь может успешно пройти процедуру простейшей аутентификации и авторизоваться в информационной системе.

Аутентификация по предъявлению цифрового сертификата

Механизмы аутентификации с применением сертификатов обычно используют протокол с запросом и ответом. Согласно этому протоколу, сервер аутентификации направляет пользователю последовательность символов, называемую запросом, а программное обеспечение клиентского компьютера для генерирования ответа вырабатывает с помощью закрытого ключа пользователя цифровую подпись под запросом от сервера аутентификации. Общий процесс подтверждения подлинности пользователя состоит из следующих стадий:

• получение открытого ключа СА (одноразовый процесс),

• получение по некоторому незащищенному каналу от этого пользователя его сертификата открытого ключа.

Использование смарт-карт и USB-ключей

Несмотря на то, что криптография с открытым ключом согласно спецификации Х.509 может обеспечивать строгую аутентификацию пользователя, сам по себе незащищенный закрытый ключ подобен паспорту без фотографии. Закрытый ключ, хранящийся на жёстком диске компьютера владельца, уязвим по отношению к прямым и сетевым атакам. Достаточно подготовленный злоумышленник может похитить персональный ключ пользователя и с помощью этого ключа представляться этим пользователем. Защита ключа с помощью пароля помогает, но недостаточно эффективно - пароли уязвимы по отношению ко многим атакам. Несомненно, требуется более безопасное хранилище.

Смарт-карты

Смарт-карты - пластиковые карты стандартного размера банковской карты, имеющие встроенную микросхему. Они находят всё более широкое применение в различных областях, от систем накопительных скидок до кредитных и дебетовых карт, студенческих билетов и телефонов стандарта GSM.

Для использования смарт-карт в компьютерных системах необходимо устройство чтения смарт-карт. Несмотря на название - устройство чтения (или считыватель), - большинство подобных оконечных устройств, или устройств сопряжения (IFD), способны как считывать, так и записывать информацию, если позволяют возможности смарт-карты и права доступа. Устройства чтения смарт-карт могут подключаться к компьютеру посредством последовательного порта, слота PCMCIA или USB. Устройство чтения смарт-карт также может быть встроено в клавиатуру. Как правило, для доступа к защищенной информации, хранящейся в памяти смарт-карты, требуется пароль, называемый PIN-кодом.

USB-ключи

USB-ключи достаточно привлекательны, поскольку USB стал стандартным портом для подключения периферийных устройств и организации не нужно приобретать для пользователей какие бы то ни было считыватели.

Аутентификацию на основе смарт-карт и USB-ключей сложнее всего обойти, так как используется уникальный физический объект, которым должен обладать человек, чтобы войти в систему. В отличие от паролей, владелец быстро узнаёт о краже и может сразу принять необходимые меры для предотвращения её негативных последствий. Кроме того, реализуется двухфакторная аутентификация. Микропроцессорные смарт-карты и USB-ключи могут повысить надёжность служб PKI: смарт-карта может использоваться для безопасного хранения закрытых ключей пользователя, а также для безопасного выполнения криптографических преобразований. Безусловно, данные устройства аутентификации не обеспечивают абсолютную безопасность, но надёжность их защиты намного превосходит возможности обычного настольного компьютера.

Для хранения и использования закрытого ключа разработчики используют различные подходы. Наиболее простой из них - использование устройства аутентификации в качестве защищенного носителя аутентификационной информации: при необходимости карта экспортирует закрытый ключ, и криптографические операции осуществляются на рабочей станции. Этот подход является не самым совершенным с точки зрения безопасности, зато относительно легко реализуемым и предъявляющим невысокие требования к устройству аутентификации. Два других подхода более безопасны, поскольку предполагают выполнение устройством аутентификации криптографических операций. При первом пользователь генерирует ключи на рабочей станции и сохраняет их в памяти устройства. При втором пользователь генерирует ключи при помощи устройства. В обоих случаях, после того как закрытый ключ сохранён, его нельзя извлечь из устройства и получить любым другим способом.

Генерация ключевой пары вне устройства

В этом случае пользователь может сделать резервную копию закрытого ключа. Если устройство выйдет из строя, будет потеряно, повреждено или уничтожено, пользователь сможет сохранить тот же закрытый ключ в памяти нового устройства. Это необходимо, если пользователю требуется расшифровать какие-либо данные, сообщения, и т.д., зашифрованные с помощью соответствующего открытого ключа. Однако при этом закрытый ключ пользователя подвергается риску быть похищенным, что означает его компрометацию.

Генерация ключевой пары с помощью устройства

В этом случае закрытый ключ не появляется в открытом виде, и нет риска, что злоумышленник украдёт его резервную копию. Единственный способ использования закрытого ключа - это обладание устройством аутентификации. Являясь наиболее безопасным, это решение выдвигает высокие требования к возможностям самого устройства: оно должно обладать функциональностью генерации ключей и осуществления криптографических преобразований. Это решение также предполагает, что закрытый ключ не может быть восстановлен в случае выхода устройства из строя, и т. п. Об этом необходимо беспокоиться при использовании закрытого ключа для шифрования, но не там, где он используется для аутентификации или в других службах, использующих цифровые подписи.

Протокол аутентификации влокальной сети Kerberos

Протокол Kerberos был разработан специально для того, чтобы обеспечить надежную аутентификацию пользователей. Данный протокол использует централизованное хранение аутентификационных данных и является основой для построения механизмов Single Sign-On (возможность одноразовой аутентификации в нескольких приложениях). Протокол Kerberos предлагает механизм взаимной аутентификации клиента и сервера перед установлением связи между ними с учетом того, что начальный обмен информацией между клиентом и сервером может происходить в незащищённой среде, а передаваемые пакеты - перехвачены и модифицированы. Протокол использует понятие Ticket (билет, удостоверение). Ticket является зашифрованным пакетом данных, выданным выделенным доверенным центром аутентификации, в терминах протокола Kerberos -KDC (Key Distribution Center, центр распределения ключей). Когда пользователь выполняет первичную аутентификацию, после успешного подтверждения его подлинности KDC выдаёт первичное удостоверение пользователя для доступа к сетевым ресурсам - TGT (Ticket Granting Ticket). В дальнейшем при обращении к отдельным сетевым ресурсам пользователь, предъявляя TGT, получает от KDC удостоверение для доступа к конкретному сетевому ресурсу - Service Ticket.

Одним из преимуществ протокола Kerberos, обеспечивающих очень высокий уровень сетевой безопасности, является то, что во всех сетевых взаимодействиях в открытом виде не передаются ни пароли, ни хэши паролей. Все удостоверения являются зашифрованными пакетами данных. В качестве примера реализации протокола Kerberos следует отметить доменную аутентификацию пользователей в операционных системах компании Microsoft, начиная с Windows 2000.

Протоколы аутентификации для удалённого доступа Radius

Часть протоколов сетевой аутентификации были разработаны специально для обеспечения удаленного доступа к информационным ресурсам посредством открытых каналов связи (к примеру, телефонные линии, Internet). В качестве примера можно привести протоколы PAP, CHAP, EAP, RADIUS, TACACS и другие. В качестве примера кратко рассмотрим работу протокола RADIUS.

Протокол аутентификации Remote Authentication Dial-in User Service (RADIUS) рассматривается как механизм аутентификации и авторизации удалённых пользователей в условиях распределённой сетевой инфраструктуры, предоставляющий централизованные услуги по проверке подлинности и учёту для служб удалённого доступа.

В рамках стандарта выделяются следующие роли:

• Клиент RADIUS. Клиент RADIUS принимает от пользователей запросы на аутентификацию. Все принятые запросы переадресовываются серверу RADIUS для последующей аутентификации и авторизации. Как правило, в качестве клиента протокола RADIUS выступает сервер удалённого доступа.

• Сервер RADIUS. Основная задача сервера RADIUS заключается в централизованной обработке информации, предоставленной клиентами RADIUS. Один сервер способен обслуживать несколько клиентов RADIUS. Сервер осуществляет проверку подлинности пользователя и его полномочий. При этом в зависимости от реализации сервера RADIUS для проверки подлинности используются различные базы данных учётных записей. 

• Посредник RADIUS. Взаимодействие клиентов и серверов RADIUS осуществляется посредством специальных сообщений. В распределённых сетях клиент и сервер RADIUS могут быть разделены различными сетевыми устройствами (такими, например, как маршрутизатор). Под посредником RADIUS понимается сетевое устройство, способное осуществлять перенаправление сообщений протокола RADIUS.

Поддержка протокола RADIUS реализована на многих современных платформах, что позволяет использовать его в межплатформенных решениях.

В качестве примера сервера и посредника RADIUS можно привести реализованную в Windows Server 2003 службу проверки подлинности в Интернете (Internet Authentication Service, IAS). Эта служба позиционируется как механизм централизованной аутентификации и авторизации пользователей, использующих различные способы подключений к сети. Служба IAS интегрирована с другими сетевыми службами Windows Server 2003, такими, как служба маршрутизации и удалённого доступа и служба каталога Active Directory.

Аутентификация на основе одноразовых паролей (усиленная аутентификация) Одноразовый пароль - это ключевое слово, действительное только для одного процесса аутентификации в течение ограниченного промежутка времени. Такой пароль полностью решает проблему возможного перехвата информации или банального подглядывания. Даже если злоумышленник сможет заполучить пароль "жертвы", шансы воспользоваться им для получения доступа равны нулю.

Способы создания одноразовых паролей:

Алгоритмы создания OTP обычно используют случайные числа. Это необходимо, потому что иначе было бы легко предсказать последующие пароли на основе знания предыдущих. Конкретные алгоритмы OTP сильно различаются в деталях. Различные подходы к созданию одноразовых паролей перечислены ниже.

• Использующие математические алгоритмы для создания нового пароля на основе предыдущих (пароли фактически составляют цепочку, и должны быть использованы в определённом порядке).

• Основанные на временной синхронизации между сервером и клиентом, обеспечивающей пароль (пароли действительны в течение короткого периода времени)

• Использующие математический алгоритм, где новый пароль основан на запросе (например. случайное число, выбираемое сервером или части входящего сообщения) и/или счётчике.

Также существуют различные способы, чтобы сообщить пользователю следующий пароль. Некоторые системы используют специальные электронные токены, которые пользователь носит с собой, создающие одноразовые пароли и выводящие затем их на маленьком экране. Другие системы состоят из программ, которые пользователь запускает с мобильного телефона. Ещё другие системы генерируют одноразовые пароли на сервере и затем отправляют их пользователю используя посторонние каналы, такие как SMS сообщения. Наконец, в некоторых системах одноразовые пароли напечатаны на листе бумаги или на скретч-карте, которые пользователю необходимо иметь с собой.

58. Средства, реализующие идентификацию и аутентификацию пользователя (классификация, электронные идентификаторы TouchMemory, USB-токены, магнитные и смарт-карты, RFID метки и т.д., примеры и особенности реализации, области применения).

Электронный ключ Touch Memory DS1990A представляет собой носитель данных для автоматической идентификации уникального кода и является пассивным элементом, то есть не имеет внутреннего источника питания.

Ключ выполнен в прочном корпусе MicroCan с высокой стойкостью к внешним воздействиям (загрязнения, повышенная влажность и удары).     В постоянное запоминающее устройство (ПЗУ) при изготовлении лазером записывается 64-разрядный код, который состоит из 48-разрядного уникального серийного номера, 8-разрядного кода семейства и 8-разрядной контрольной суммы/

Доступ к внутренней памяти DS1990A осуществляется по одной шине данных через интерфейс 1-Wire компании Dallas. Питание микросхема получает из этого же проводника, заряжая внутренний конденсатор в моменты, когда на шине нет обмена данными.

Протокол 1-Wire определяет условия изменения состояний шины и временные интервалы при синхронизации по срезам синхроимпульсов управляющего устройства. Считывание и запись данных осуществляется младшим значащим битом вперед.

Информация записывается и считывается из памяти ключа путем касания считывающего устройства. Процесс считывания включает в себя инициализацию устройства и идентификацию информации из ПЗУ. Скорость обмена достаточна для обеспечения передачи данных в момент касания контактного устройства.

Особенности:

• Уникальный 48 битный номер

• Дешевый электронный ключ для систем контроля доступа

• 8 бит CRC для контроля данных

• Считывание менее чем за 5 мс

• Рабочий температурный диапазон от -40°C до +85°C

• Мгновенная цифровая идентификация и передача информации при контакте

• Все электронные ключи уникальны, сделать дубликат невозможно.

• Ключи имеют свой уникальный номер, который никогда не повторяется

eToken (от англ. electronic — электронный и англ. token — признак, жетон) — персональное средство аутентификациии. Различные модели eToken выпускаются фирмой Aladdin Knowledge Systems и российской компанией Aladdin.

Перечень современных моделей:

• eToken PRO и eToken PRO (Java) — смарт-карты и USB-ключи, являющиеся полнофункциональными аналогами смарт-карт;

• eToken GT — недорогой аналог USB-ключей eToken PRO (Java), отличающийся лишь меньшим объёмом памяти;

• eToken NG-FLASH и eToken NG-FLASH (Java) — USB-ключи, сочетающие в себе возможности смарт-карт и USB флэш-накопителей;

• eToken NG-OTP и eToken NG-OTP (Java) — USB-ключи, сочетающие в себе возможности смарт-карт и генераторов одноразовых паролей;

• eToken PASS — OTP-токен (аппаратный генератор одноразовых паролей);

• eToken Virtual — программный эмулятор смарт-карты;

• MobilePASS — программный генератор одноразовых паролей.

Классификация:

По функциональным возможностям:

Функциями смарт-карт обладают все современные модели eToken, за исключением eToken PASS и MobilePASS.

Функциями USB флэш-накопителей обладают комбинированные устройства eToken NG-FLASH и eToken NG-FLASH (Java).

Функциями OTP-токенов (устройств для генерации одноразовых паролей) обладают eToken NG-OTP, eToken NG-OTP (Java), eToken PASS и MobilePASS.

По видам обеспечения:

Различные модели eToken являются аппаратными устройствами, за исключением программных средств eToken Virtual и MobilePASS.

По программно-аппаратным платформам:http://ru.wikipedia.org/wiki/EToken - cite_note-3

eToken NG-Flash, eToken NG-OTP и eToken PRO созданы на основе операционной системы Siemens CardOS и микросхем Infineon.

eToken GT, eToken NG-Flash (Java), eToken NG-OTP (Java) и eToken PRO (Java) построены на платформе eToken Java (операционная система Athena OS755 и микросхема Atmel), в которой реализована технология Java Card с учётом стандарта Global Platform.

Преимущества:

• Безопасность хранения ключа — в связи с тем что ключ ЭЦП генерируется изначально на токене и в течении всей работы с ним никогда его не покидает, хищение ключа фактически невозможно;

• На одном токене возможно сохранение до 64 ключей ЭЦП;

• На токене невозможно сохранить прочую информацию кроме ключа ЭЦП. Тем самым вы обезопасите себя от случайного удаления ключа или перезаписи файла;

• Токен не имеет срока годности и не содержит в себе движущихся (механических устройств) приходящих в негодность со временем.

Магнитные и смарт-карты

Приставку Smart (интеллектуальная) карта получила не просто так. Имея вид обычной пластиковой кредитной карточки, она содержит в себе интегральную схему, которая наделяет ее способностью к хранению и обработке информации.

 Смарт-карты классифицируются по следующим признакам:

• тип микросхемы  

• способ считывания информации

• соответствие стандартам

• область применения

Тип применяемых микросхем в смарт-картах 

В зависимости от встроенной микросхемы все смарт-карты делятся на несколько основных типов, кардинально различающихся по выполняемым функциям:

• карты памяти

• микропроцессорные карты

• карты с криптографической логикой

Карты памяти предназначены для хранения информации. Память на таких типах карт может быть свободной для доступа или содержать логику контроля доступа к памяти карты для ограничения операций чтения и записи данных.

Микропроцессорные карты также предназначены для хранения информации, но в отличие обычных карт памяти они содержат в себе специальную программу или небольшую операционную систему, которая позволяет преобразовывать данные по определенному алгоритму, осуществлять защиту информации, хранящейся на карте, при передаче, чтении и записи.

 Карты с криптографической логикой используются в системах защиты информации для принятия непосредственного участия в процессе шифрования данных или выработки криптографических ключей, электронных цифровых подписей и другой необходимой информации для работы системы.

По методу считывания информации карты делятся на следующие:

• Контактные

• Бесконтактные

• Со сдвоенным интерфейсом

Контактные карты взаимодействуют со считывателем посредством непосредственного соприкосновения металлической контактной площадки карты и контактов считывателя. Данный метод считывания просто реализуем, но повышает износ карты при частом использовании.

Бесконтактные карты имеют встроенную катушку индуктивности, которая в электромагнитном поле считывателя обеспечивает питанием микросхему, выдающую информационные радиосигналы. Такой метод считывания позволяет часто использовать карту без износа самой карты и считывателя.

Карты со сдвоенным интерфейсом имеют одновременно и контактную площадку и встроенную катушку индуктивности. Такие карты позволяют осуществлять работу с разными типами считывателей.

Преимущества смарт-карт 

Популярность смарт-карт в последнее время становится выше и это связано с тем, что смарт-карты имеют серьезные отличия от обычных карт с магнитной полосой:

 1.       смарт-карта содержит в себе память, из-за этого она может нести в себе гораздо большее количество информации, которая необходима для работы. В случае платежных систем (банкоматов, касс и т.д.) при использовании магнитных карт требуется наличие соединения с банком или другим обслуживающим центром, чтобы по идентификатору, хранящемуся на карте, получить данные о счете. В случае работы со смарт-картами данные о счете хранятся непосредственно в памяти карты и не требуется наличие соединения с банком, к тому же размер памяти позволяет хранить данные о нескольких счетах сразу вместе с персональными данными клиента. Поэтому данное свойство смарт-карты позволяет экономить на специальных каналах связи и дорогостоящем компьютерном оборудовании.

 2.       смарт-карты имеют надежную встроенную систему защиты от считывания информации и ее подделки. Эта особенность смарт-карты уберегает ее владельца от случаев любого нелегального копирования (клонирования) карты и несанкционированного использования.

 3.       Обмен информацией со смарт-картой проходит в зашифрованном виде, поэтому ее просто невозможно перехватить или изменить. Эта возможность позволяет со стопроцентной уверенностью утверждать, что Ваша информация не будет прослушана кем-либо. Ваши данные о счете и балансе останутся не известны кассиру или продавцу.

 4.       смарт-карта является более долговечной. Она не подвержена влиянию электромагнитных излучений и менее подвержена влиянию воды, грязи и химикатам. Срок службы смарт-карт различных производителей в зависимости от условий использования составляет от 3 до 10 лет. Магнитные же карты служат всего 1-2 года.

4. RFID (англ. Radio Frequency IDentification, радиочастотная идентификация) — метод автоматической идентификации объектов, в котором посредством радиосигналов считываются или записываются данные, хранящиеся в так называемых транспондерах, или RFID-метках.

Любая RFID-система состоит из считывающего устройства (считыватель, ридер или интеррогатор) и транспондера (он же RFID-метка, иногда также применяется термин RFID-тег).

Большинство RFID-меток состоит из двух частей. Первая — интегральная схема (ИС) для хранения и обработки информации, модулирования и демодулирования радиочастотного (RF) сигнала и некоторых других функций. Вторая — антенна для приёма и передачи сигнала.

Существует несколько способов систематизации RFID-меток и систем:

• По рабочей частоте

• По источнику питания

• По типу памяти

• По исполнению

По типу источника питания RFID-метки делятся на

• Пассивные

• Активные

• Полупассивные

Пассивные RFID-метки не имеют встроенного источника энергии. Электрический ток, индуцированный в антенне электромагнитным сигналом от считывателя, обеспечивает достаточную мощность для функционирования кремниевого CMOS-чипа, размещённого в метке, и передачи ответного сигнала.

Активные RFID-метки обладают собственным источником питания и не зависят от энергии считывателя, вследствие чего они читаются на дальнем расстоянии, имеют большие размеры и могут быть оснащены дополнительной электроникой. Однако, такие метки наиболее дороги, а у батарей ограничено время работы.

Полупассивные RFID-метки, также называемые полуактивными, очень похожи на пассивные метки, но оснащены батареей, которая обеспечивает чип энергопитанием^. При этом дальность действия этих меток зависит только от чувствительности приёмника считывателя и они могут функционировать на большем расстоянии и с лучшими характеристиками.

По типу используемой памяти RFID-метки делятся на

• RO (англ. Read Only) — данные записываются только один раз, сразу при изготовлении. Такие метки пригодны только для идентификации. Никакую новую информацию в них записать нельзя, и их практически невозможно подделать.

• WORM (англ. Write Once Read Many) — кроме уникального идентификатора такие метки содержат блок однократно записываемой памяти, которую в дальнейшем можно многократно читать.

• RW (англ. Read and Write) — такие метки содержат идентификатор и блок памяти для чтения/записи информации. Данные в них могут быть перезаписаны многократно.

По рабочей частоте:

Метки диапазона LF (125—134 кГц)

Метки диапазона LF (125—134 кГц)

Метки диапазона HF (13,56 МГц)

Метки диапазона UHF (860—960 МГц)

Радиочастотные UHF-метки ближнего поля

59. Механизмы разграничения доступа к объектам (иерархический доступ к объектам, дискреционный механизм разграничения доступа, понятие атрибутов доступа, мандатный механизм разграничения доступа, замкнутая программная среда, контроль потоков, преимущества и недостатки различных механизмов разграничения доступа, организация доступа к объектам в различных ОС).

Механизм управления доступом - реализует на практике некоторую абстрактную (или формальную) модель, определяющую правила задания разграничительной политики доступа к защищаемым ресурсам и правила обработки запросов доступа к защищаемым ресурсам.

Дискреционное управление доступом (англ. Discretionary access control, DAC) — управление доступом субъектов к объектам на основе списков управления доступом или матрицы доступа.

Также называется избирательным управлением доступом, Контролируемым управлением доступом и Разграничительным управлением доступом.

Для каждой пары (субъект — объект) должно быть задано явное и недвусмысленное перечисление допустимых типов доступа (читать, писать и т.д.), то есть тех типов доступа, которые являются санкционированными для данного субъекта (индивида или группы индивидов) к данному ресурсу (объекту).

Для определения прав доступа субъектов к объектам при избира­тельном разграничении доступа используется матрица доступа. Строки этой матрицы представляют собой объекты, столбцы - субъекты (или на­оборот). В каждой ячейке матрицы хранится совокупность прав доступа, предоставленных данному субъекту на данный объект.

Возможны несколько подходов к построению дискреционного управления доступом:

• Каждый объект системы имеет привязанного к нему субъекта, называемого владельцем. Именно владелец устанавливает права доступа к объекту.

• Система имеет одного выделенного субъекта— суперпользователя, который имеет право устанавливать права владения для всех остальных субъектов системы.

• Субъект с определенным правом доступа может передать это право любому другому субъекту.

Возможны и смешанные варианты построения, когда одновременно в системе присутствуют как владельцы, устанавливающие права доступа к своим объектам, так и суперпользователь, имеющий возможность изменения прав для любого объекта и (или) изменения его владельца. Именно такой смешанный вариант реализован в большинстве операционных систем, например, в классических UNIX-системах или в системах Windows семейства NT.

Избирательное управление доступом является основной реализацией разграничительной политики доступа к ресурсам при обработке конфиденциальных сведений, согласно требованиям к системе защиты информации.

Дискреционное разграничение доступа является наиболее распро­страненным механизмом разграничения доступа. Это обусловлено сравни­тельной простотой реализации дискреционного разграничения доступа и сравнительной необременительностью правил дискреционного разграни­чения доступа для пользователей. Вместе с тем защищенность операци­онной системы, подсистема защиты которой реализует только дискреционное разграничение доступа, во многих случаях недостаточна.

Атрибуты доступа (?) – права доступа, указывающие кто и что может делать с объектом.

Мандатное управление доступом (англ. Mandatory access control, MAC) — разграничение доступа субъектов к объектам, основанное на назначении метки конфиденциальности для информации, содержащейся в объектах, и выдаче официальных разрешений (допуска) субъектам на обращение к информации такого уровня конфиденциальности. Также иногда переводится как Принудительный контроль доступа. Это способ, сочетающий защиту и ограничение прав, применяемый по отношению к компьютерным процессам, данным и системным устройствам и предназначенный для предотвращения их нежелательного использования.

Мандатная модель управления доступом, помимо дискреционной и ролевой, является основой реализации разграничительной политики доступа к ресурсам при защите информации ограниченного доступа. При этом данная модель доступа практически не используется «в чистом виде», обычно на практике она дополняется элементами других моделей доступа.

Для файловых систем, оно может расширять или заменять дискреционный контроль доступа и концепцию пользователей и групп.

Самое важное достоинство заключается в том, что пользователь не может полностью управлять доступом к ресурсам, которые он создаёт.

Политика безопасности системы, установленная администратором, полностью определяет доступ, и обычно пользователю не разрешается устанавливать более свободный доступ к его ресурсам чем тот, который установлен администратором пользователю. Системы с дискреционным контролем доступа разрешают пользователям полностью определять доступность их ресурсов, что означает, что они могут случайно или преднамеренно передать доступ неавторизованным пользователям.

Такая система запрещает пользователю или процессу, обладающему определённым уровнем доверия, получать доступ к информации, процессам или устройствам более защищённого уровня. Тем самым обеспечивается изоляция пользователей и процессов, как известных, так и неизвестных системе (неизвестная программа должна быть максимально лишена доверия, и её доступ к устройствам и файлам должен ограничиваться сильнее).

Очевидно, что система, которая обеспечивает разделение данных и операций в компьютере, должна быть построена таким образом, чтобы её нельзя было «обойти». Она также должна давать возможность оценивать полезность и эффективность используемых правил и быть защищённой от постороннего вмешательства.

Замкнутая программная среда. Изолированная или замк­нутая программная среда представляет собой расширение модели изби­рательного разграничения доступа. Здесь правила разграничения доступа формулируются следующим образом.

1. Для любого объекта операционной системы существует владе­лец.

2. Владелец объекта может произвольно ограничивать доступ дру­гих субъектов к данному объекту.

3. Для каждой четверки субъект-объект-метод-процесс возможность доступа определена однозначно.

4. Существует хотя бы один привилегированный пользователь (ад­министратор), имеющий возможность обратиться к любому объекту по лю­бому методу.

5. Для каждого субъекта определен список программ, которые этот субъект может запускать.

При использовании изолированной программной среды права субъ­екта на доступ к объекту определяются не только правами и привилегиями субъекта, но и процессом, с помощью которого субъект обращается к объ­екту. Можно, например, разрешить обращаться к файлам с расширением .doc только программам Word, Word Viewer и WPview.

Изолированная программная среда существенно повышает защи­щенность операционной системы от разрушающих программных воздейст­вий, включая программные закладки и компьютерные вирусы. Кроме того, при использовании данной модели повышается защищенность целостно­сти данных, хранящихся в системе. В то же время изолированная про­граммная среда создает определенные сложности в администрировании операционной системы.

Правила назначения меток безопасности иерархическим объектам доступа

Ранее объект доступа нами рассматривался как элемент, имеющий неиерархическую структуру. Вместе с тем, ряд объектов, например, файловые объекты, характеризуются иерархической структурой. Например, объект доступа файл может находиться в подкаталоге, который в свою очередь располагается в каталоге логического диска (или тома).

Возникает вопрос: каким образом назначать метки безопасности иерархическому объекту, с учетом того, что не только включаемый элемент (например, каталог для логического диска, подкаталог для каталога и т.д.) является объектом доступа, но и каждый включающий элемент иерархии (например, логический диск для каталога, каталог для подкаталога и т.д.) также априори является объектом доступа? То есть в соответствии с требованиями к корректности реализации мандатного механизма управления доступом метки безопасности должны устанавливаться всем объектам доступа, как включаемым, так и включающим.

Общие правила назначения меток безопасности иерархическим объектам доступа

Основу назначения меток безопасности иерархическим объектам доступа составляет использование следующего подхода. Пусть некоторому включаемому объекту (например, файлу) необходимо назначить метку безопасности. Это означает, что пользователю с соответствующей меткой будет дано право на чтение данного объекта и на запись в него. Соответственно включающим элементам должна присваиваться метка, не позволяющая рассматриваемому пользователю осуществить в них запись, но позволяющая осуществить чтение (чтобы просмотреть структуру включающего элемента) — т.е. метка ниже, чем метка включаемого элемента.

Изолированная программная среда не защищает от утечки конфи­денциальной информации.

Контроль информационных потоков

Видя описанные проблемы, многие исследователи решили обратиться к теории информации и применить ее положения для создания моделей безопасности в сетевых окружениях. Одна из них – модель невмешательства, согласно которой ввод высокоуровневого пользователя не может смешиваться с выводом низкоуровневого пользователя (нет чтения наверх, нет записи вниз). Модель невмешательства полностью закрывает проблему скрытых каналов, но при этом возрастает сложность проверки корректности ее реализации.

Вторая модель, учитывающая информационные потоки, называется моделью невыводимости, суть ее тоже интуитивно понятна. Пользователи с низким уровнем секретности не могут получить информацию с высоким уровнем секретности, какие бы действия не предпринимались пользователями с высоким уровнем секретности. Иными словами, утечка информации в таких системах полностью исключается. В широко используемых нами в повседневной жизни приложениях или системах эти модели не используются.

Преимущества и недостатки различных механизмов разграничения доступа.

Дискреционный:

«-» если слишком большое количество пользователей, то получается большой набор показателей (большая матрица), сложно проследить за выполнением прав.

«+» легко реализовать.

Преимущества: гибкость, для каждой пары "субъект-объект" можно независимо задавать права доступа (особенно легко это делать, если используются списки управления доступом).

Недостатки: большие размеры, разреженность, сложность редактировать так, чтобы не внести противоречия, рассредоточенность управления и сложность централизованного контроля, права доступа существуют отдельно от данных. Ничто не мешает пользователю, имеющему доступ к секретной информации, записать ее в доступный всем файл или заменить полезную программу ее "троянским" аналогом

Мандатный:

«-» не контролируется работа (обращение) к данным (потенциальный источник утечки).

«+» уровень доступа документа не выше уровня пользователя.

Достоинства:

Многоуровневая модель предупреждает возможность преднамеренного или случайного снижения уровня конфиденциальности защищаемой информации за счет ее утечки (умышленного переноса). То есть эта модель препятствует переходу информации из объектов с высоким уровнем конфиденциальности и узким набором категорий доступа в объекты с меньшим уровнем конфиденциальности и более широким набором категорий доступа.

Недостатки:

Более высокие требования к квалификации администратора безопасности;

Большая сложность в администрировании;

Сложности при необходимости выполнения работ с документами разного уровня конфиденциальности;

Как правило нельзя задать характеристику доступа к информации (только чтение, чтение и изменение, возможность создания новых ресурсов) в отличие от дискреционного доступа.

Организация доступа к объектам в различных ОС.

В большинстве ОС по умолчанию реализован дискреционный доступ: в Windows средствами НТФС, в Linux также средствами файловой системы. Мандатный доступ в ОС можно реализовать дополнительными средствами. Например, средствами SecretNet в Windows. В некоторых дистрибутивах Linux уже имеется встроенная реализация мандатного доступа.

60. Разрушающие программные воздействия (понятия разрушающего программного воздействия и вредоносного ПО, классификация вредоносного ПО и особенности классов, возможные источники заражения и каналы проникновения, подходы и средства защиты, централизованные системы защиты от вредоносного ПО, использование замкнутой программной среды для борьбы с вредоносным ПО).

Вредоносное ПО — программное обеспечение, предназначенное для осуществления несанкционированного доступа и (или) воздействия на ресурсы информационной системы. [Р 50.1.053-2005]

Программное (программно-математическое) воздействие — несанкционированное воздействие на ресурсы автоматизированной системы, осуществляемое с использованием вредоносного ПО. [Р 50.1.053-2005]

Несанкционированный доступ — доступ к информации, осуществляемый с нарушением установленных прав и (или) правил доступа к информации. [Р 50.1.053-2005]

Несанкционированное воздействие — изменение информации, осуществляемое с нарушением установленных прав и (или) правил. [Р 50.1.053-2005]

Вирус (компьютерный, программный) — исполняемый программный код или интерпретируемый набор инструкций, обладающий свойствами несанкционированного распространения и самовоспроизведения. Созданные дубликаты компьютерного вируса не всегда совпадают с оригиналом, но сохраняют способность к дальнейшему распространению и самовоспроизведению. [Р 50.1.056-2005]

Классификация вредоносного ПО и особенности классов (все по NIST SP800-83)

Вредоносное ПО в зарубежной литературе именуется словом «Malware». Слово «Malware» объединяет в себе понятия «вредоносное ПО» и «вредоносный код». Классификаций очень много. Ниже приведена из NIST-а.