5. Защита информации

5.1. Общие положения

В вычислительной технике понятие безопасности является весьма широким. Оно подразумевает и надежность работы компьютера, и сохранность ценных данных, и защиту информации от внесения в нее изменений неуполномоченными лицами, и сохранение тайны переписки в электронной связи. Разумеется, во всех Цивилизованных странах на страже безопасности граждан стоят законы.

До недавнего времени, в нашей стране, большая часть из отношений, возникающих при создании и применении информационных систем и технологий, средств их обеспечения, не была урегулирована правом. Положение изменилось после принятия Федерального закона РФ "ОБ информации, информатизации и защите информации", в гл. 4 которого "Информатизация. Информационные системы, технологии и средства их обеспечения" провозглашено право на разработку и производство информационных систем, технологий и средств их обеспечения (ст. 16), право на собственности на информационные системы, технологии и средства их обеспечения (ст. 17), право авторства и право собственности на информационные системы, технологии и их средства обеспечения (ст. 18).

В соответствии с законом производство информационных технологий и средств их обеспечения составляет специальную отрасль экономической деятельности, развитие которой определяется государственной научно-технической и промышленной политикой информатизации. Государственные и негосударственные структуры, а также граждане имеют равные права на разработку и производство информационных систем, технологий и средств их обеспечения. Правительство РФ определяет приоритетные направления развития информатизации и устанавливает порядок их финансирования. Разработка и эксплуатация федеральных и информационных систем финансируется из средств федерального бюджета по статье расходов 11 "Информационное обеспечение" ("Информатика"). Органы государственной статистики совместно с Комитетом при Президенте РФ по политике информации устанавливают правила учета и анализа состояния отрасли экономической деятельности, развитие которой определяется государственной научно-технической и промышленной политикой информатизации.

Закон регулирует отношения по поводу права собственности на информационные системы, технологии и средства их обеспечения:

• информационные системы, технологии и средства их обеспечения могут быть объектами собственности физических и юридических лиц, государства;

• собственником информационной системы, технологии и средств их обеспечения признается физическое или юридическое лицо, на средство которого эти объекты произведены, приобретены или получены в порядке наследования, дарения или иным законным путем;

• информационные системы, технологии и средства их обеспечения включаются в состав имущества субъектов, осуществляющего права собственника или владельца этих объектов. Информационные системы, технологии и их средства обеспечения выступают в качестве товара (продукции) при соблюдении исключительных прав их разработчиков. Собственник информационной системы, технологии и их средства обеспечения определяет условия использования этой продукции;

• право авторства и право собственности на информационные системы, технологии и средства их обеспечения могут принадлежать разным лицам. Собственник информационной системы, технологии и их средства обеспечения обязан защищать права их автора с соответствии с законодательством (ст. 18).

• информационные системы, базы и банки данных, предназначенные для информационного обслуживания граждан и организаций, подлежат сертификации в порядке, установленном Законом РФ "О сертификации продукции и услуг".

Информационные системы органов государственной власти РФ и органов государственной власти субъектов федерации, других государственных органов, организаций, которые обрабатывают документированную информацию с ограниченным доступом, а также средства защиты этих систем подлежат обязательной сертификации, порядок которой определяется законодательством РФ.

Организации, выполняющие работы в области проектирования, производства средств защиты информации и обработки персональных данных, получают лицензии на этот вид деятельности. Порядок лицензирования определяется Законом РФ.

Интересы потребителя информации при использовании импортной продукции в информационных системах защищаются таможенными органами Российской Федерации на основе международной системы сертификации.

В области охраны прав авторства на средства обеспечения информационных систем действовали два федеральных закона: "О правовой охране программ ЭВМ и баз данных" - для программных средств и "О правовой охране топологий интегральных микросхем" - для интегральных микросхем. С принятием Федерального закона "Об информации, информатизации и защите информации" эти отношения распространяются и на все другие средства обеспечения информационных систем и информационных технологий (см. ст. 18). Разработчикам средств обеспечения автоматизированных информационных систем, банков данных, их сетей, иных информационных технологий (технологических, лингвистических, правовых, организационных средств):

• к которым относят, например, средства вычислительной техники и связи; различные словари, тезаурусы и классификаторы; инструкции и методики; положения, уставы и должностные инструкции; схемы и их описания;

• другая эксплуатационная и сопроводительная (документация) предоставляется возможность закрепить на них свое авторское право.

Формирование единого информационного пространства требует решения проблем связи и телекоммуникации. Отношения по поводу развития, средств связи регулируются федеральными законами "О связи", "О федеральной фельдъегерской связи", "О почтовой связи".

Актуальность этих проблем подчеркивается - также тем обстоятельством, что персональный компьютер или автоматизированное рабочее место (АРМ) является частью систем обработки информации, систем коллективного пользования, вычислительных сетей. В таких случаях предъявляются достаточно жесткие требования по надежности и достоверности передаваемой информации.

Любой канал связи характеризуется наличием в нем помех, приводящих к искажению информации, поступающей на обработку. С целью уменьшения вероятности ошибок принимается ряд мер, направленных на улучшение технических характеристик каналов, на использование различных видов модуляции, на расширение пропускной способности и т. п. При этом должны приниматься меры по защите информации от ошибок или несанкционированного доступа.

Доступ ~ это получение возможности использовать информацию, хранящуюся в ЭВМ (системе). Всякая информация в ЭВМ или системе требует той или иной защиты, под которой понимается совокупность методов, позволяющих управлять доступом выполняемых в системе программ к хранящейся в ней информации.

Защите подлежит любая документированная информация, неправомерное обращение с которой может нанести ущерб ее собственнику, владельцу, пользователю и иному лицу.

Режим защиты информации устанавливается:

• в отношении сведений, отнесенных к государственной тайне, уполномоченными органами на основании Закона Российской Федерации "О государственной тайне";

• в отношении конфиденциальной документированной информации собственником информационных ресурсов или уполномоченным лицом на основании настоящего Федерального закона;

• в отношении персональных данных - федеральным законом". (См. Федеральный закон РФ "Об информации, информатизации и защите информации" от 20 февраля 1995 г. № 24-ФЗ, ст. 21).

Целями защиты являются:

• предотвращение утечки, хищения, утраты, искажения, подделки информации;

• предотвращение угроз безопасности личности, общества, государства;

• предотвращение несанкционированных действий по уничтожению, модификации, искажению, копированию, блокированию информации;

• предотвращение других форм незаконного вмешательства в информационные системы, обеспечение правового режима документированной информации как объекта собственности;

• защита конституционных прав граждан на сохранение личной тайны

• и конфиденциальности персональных данных, имеющихся в информационных системах;

• сохранение государственной тайны, конфиденциальности документированной информации в соответствии с законодательством;

• обеспечение прав субъектов в информационных процессах и при разработке, производстве и применении информационных систем, технологий и средств их обеспечения". (См. Федеральный закон РФ "Об информации, информатизации и защите информации" от 20 февраля 1995 г. №24-ФЗ,ст. 20).

Задача защиты информации в информационных вычислительных системах решается, как правило, достаточно просто: обеспечиваются средства контроля, за выполнением программ, имеющих доступ к хранимой в системе информации. Для этих целей используются либо списки абонентов, которым разрешен доступ, либо пароли, что обеспечивает защиту информации при малом количестве пользователей. Однако при широком распространении вычислительных и информационных систем, особенно в таких сферах, как обслуживание населения, банковское дело, этих средств оказалось явно недостаточно. Система, обеспечивающая защиту информации, не должна позволять доступа к данным пользователям, не имеющим такого права. Такая система защиты является неотъемлемой частью любой системы коллективного пользования средствами вычислительной техники, независимо от того, где они используются. Данные экспериментальных исследований различных систем коллективного пользования показали, что пользователь в состоянии написать программы, дающие ему доступ к любой информации, находящейся в системе. Как правило, это обусловлено наличием каких-то ошибок в программных средствах, что порождает неизвестные пути обхода установленных преград.

В процессе разработки систем защиты информации выработались некоторые общие правила, которые были сформулированы Ж. Солцером и М. Шредером (США):

1. Простота механизма защиты. Так как средства защиты усложняют и без того сложные программные и аппаратные средства, обеспечивающие обработку данных в ЭВМ, естественно стремление упростить эти дополнительные средства. Чем лучше совпадает представление пользователя о системе защиты с ее фактическими возможностями, тем меньше ошибок возникает в процессе работы.

2. Разрешения должны преобладать над запретами. Нормальным режимом работы считается отсутствие доступа, а механизм защиты должен быть основан на условиях, при которых доступ разрешается. Допуск дается лишь тем пользователям, которым он необходим.

3. Проверка полномочий любого обращения к любому объекту информации. Это означает, что защита выносится на общесистемный уровень и предполагает абсолютно надежное определение источника любого обращения.

4. Разделение полномочий заключается в определении для любой программы и любого пользователя в системе минимального круга полномочий. Это позволяет уменьшить ущерб от сбоев и случайных нарушений и сократить вероятность преднамеренного или ошибочного применения полномочий.

5. Трудоемкость проникновения в систему. Фактор трудоемкости зависит от количества проб, которые нужно сделать для успешного проникновения. Метод прямого перебора вариантов может дать результат, если для анализа используется сама ЭВМ.

6. Регистрация проникновений в систему. Иногда считают, что выгоднее регистрировать случаи проникновения, чем строить сложные системы защиты. (См. Савельев А. Я. Основы информатики: Учебник для вузов. - М.: Изд-во МГТУ им. Н. Э. Баумана, 2001. С. 216.)

Обеспечение защиты информации от несанкционированного доступа - дело сложное, требующее широкого проведения теоретических и экспериментальных исследований по вопросам системного проектирования. Наряду с применением разных приоритетных режимов и систем разграничения доступа разработчики информационных систем уделяют внимание различным криптографическим методам обработки информации.

Криптографические методы можно разбить на два класса:

• обработка информации путем замены и перемещения букв, при котором объем данных не меняется (шифрование);

• сжатие информации с помощью замены отдельных сочетаний букв, слов или фраз (кодирование).

По способу реализации криптографические методы возможны в аппаратном и программном исполнении. Для защиты текстовой информации при передачах на удаленные станции телекоммуникационной сети используются аппаратные способы шифрования и кодирования. Для обмена информацией между ЭВМ по телекоммуникационной сети, а также для работы с локальными абонентами возможны как аппаратные, так и программные способы. Для хранения информации на магнитных носителях применяются программные способы шифрования и кодирования.

Аппаратные способы шифрования информации применяются для передачи защищенных данных по телекоммуникационной сети. Для реализации шифрования с помощью смешанного алфавита используется перестановка отдельных разрядов в пределах одного или нескольких символов.

Программные способы применяются для шифрования информации, хранящейся на магнитных носителях (дисках, лентах). Это могут быть данные различных информационно-справочных систем и др. Программные способы шифрования сводятся к операциям перестановки, перекодирования и сложения по модулю 2 с ключевыми словами. При этом используются команды ассемблера TR (перекодировать) и ХС (исключающее, ИЛИ).

Особое место в программах обработки информации занимают операции кодирования, Преобразование информации, в результате которого обеспечивается изменение объема памяти, занимаемой данными, называется кодированием. На практике кодирование всегда используется для уменьшения объема памяти, так как экономия памяти ЭВМ имеет большое значение в информационных системах. Кроме того, кодирование можно рассматривать как криптографический метод обработки информации.

Например, отправляя сообщение по электронной почте, нужно четко осознавать, что письмо во время пересылки может быть прочитано и даже изменено. Для обеспечения безопасности существуют специальные средства, такие как шифрование и цифровая подпись. Оба эти понятия связаны с криптографией. Шифрование преобразует содержание письма до неузнаваемости, а цифровая подпись фиксирует содержимое письма и удостоверяет автора сообщения. В современных системах используется так называемое асимметричное шифрование. Это означает существование двух ключей, один из которых используется для шифровки информации, а другой -для расшифровки.

Для того чтобы шифровать письма и удостоверять их, необходимо получить личный сертификат безопасности (личное цифровое удостоверение). Цифровое удостоверение получают у специальных сертифицирующих организаций. Одной из наиболее известных сертифицирующих организаций является VeriSign (http://www. verisign.com). От этой фирмы можно получить на 60 дней бесплатный личный сертификат. После получения он будет встроен в браузер Internet Explorer и учетную запись почты для Outlook Express. Теперь вы можете послать письмо своему секретному собеседнику с цифровой подписью. Тогда получатель письма будет уверен в том, что письмо отправлено вами и некем не изменено. Вместе с цифровой подписью он получит ваш открытый ключ, после чего сможет занести его в свою адресную книгу. В свою очередь он может прислать вам свой открытый ключ вместе со своей цифровой подписью, и вы внесете его открытый ключ в свою адресную книгу. Теперь вы можете получать от него письмо, зашифрованное вашим открытым ключом. В этом случае расшифровать такое письмо сможете вы и только вы, поскольку закрытый ключ находится только на вашем компьютере. Чтобы шифровать исходящую корреспонденцию используйте открытый ключ вашего секретного собеседника. Бесплатной альтернативной для шифрования почты является использование программы РСР, которую можно скопировать по адресу http://www. pgpi.com.

Естественные языки обладают большой избыточностью для экономии памяти, объем которой ограничен; имеет смысл ликвидировать избыточность текста или уплотнить текст.

Существует несколько способов уплотнения текста.

1. Переход от естественных обозначений к более компактным. Этот способ применяется для сжатия записи дат, номеров изделий, уличных адресов и т.д. Идея способа показана на примере сжатия записи даты. Обычно мы записываем дату в виде 10. 05. 01, что требует 6 байтов памяти ЭВМ. Однако ясно, что для представления дня достаточно 5 битов, месяца - 4, года - не более 7, т.е. вся дата может быть записана в 16 битах или в 2-х байтах.'

2. Подавление повторяющихся символов. В различных информационных текстах часто встречаются цепочки повторяющихся символов, например пробелы или нули в числовых полях. Если имеется группа повторяющихся символов длиной более 3, то ее длину можно сократить до трех символов. Сжатая таким образом группа повторяющихся символов представляет собой триграф S P N, в котором S - символ повторения, Р - признак повторения, N - количество символов повторения, закодированных в триграфе. В других схемах подавления повторяющихся символов используют особенность кодов ДКОИ, КОИ-7, КОИ-8 , заключающуюся в том, что большинство допустимых в них битовых комбинаций не используется для представления символьных данных.

3. Кодирование часто используемых элементов данных. Этот способ уплотнения данных также основан на употреблении неиспользуемых комбинаций кода ДКОИ. Для кодирования, например, имен людей можно использовать комбинации из двух байтов: диграф PN, где Р - признак кодирования имени, N - номер имени. Таким образом, может быть закодировано 256 имен людей, чего обычно бывает достаточно в информационных системах. Другой способ основан на отыскании в текстах наиболее часто встречающихся сочетаний букв и даже слов и замене их на неиспользуемые байты кода ДКОИ.

4. Посимвольное кодирование. Семибитовые и восьмибитовые коды не обеспечивают достаточно компактного кодирования символьной информации. Более пригодными для этой цели являются пятибитовые коды, например международный телеграфный код МГК-2. Перевод информации в код МГК-2 возможен с помощью программного перекодирования или с использованием специальных элементов на основе больших интегральных схем (БИС). Пропускная ^способность каналов связи при передаче алфавитно-цифровой информации в коде МГК-2 повышается по сравнению с использованием восьмибитовых кодов почти на 40 %.

5. Коды переменной длины. Коды с переменным числом битов на символ позволяют добиться еще более плотной упаковки данных. Метод заключается в том, что часто используемые символы кодируются короткими кодами, а символы с низкой частотой использования -длинными кодами. Идея такого кодирования была впервые высказана Хаффманом, и соответствующий код называется кодом Хаффмана. Использование кодов Хаффмана позволяет достичь сокращения исходного текста почти на 80 %. Использование различных методов уплотнения текстов кроме своего основного назначения - уменьшения информационной избыточности - обеспечивает определенную криптографическую обработку информации. Однако наибольшего эффекта можно достичь при совместном использовании, как методов шифрования, так и методов кодирования информации.

Надежность защиты информации может быть оценена временем, которое требуется на расшифрование (разгадывание) информации и определение ключей.

Если информация зашифрована с помощью простой подстановки, то расшифровать ее можно было бы, определив частоты появления каждой буквы в шифрованном тексте и сравнив их с частотами букв русского алфавита. Таким образом, определяется подстановочный алфавит и расшифровывается текст. - "Органы государственной власти и организации, ответственные за формирование и использование информационных ресурсов, подлежащих защите, а также органы и организации, разрабатывающие и применяющие информационные системы и информационные технологии для формирования и использования информационных ресурсов с ограниченным доступом, руководствуются в своей деятельности законодательством Российской Федерации". (См. Федеральный закон РФ "Об информации, информатизации и защите информации" от 20 февраля 1995 г. № 24-ФЗ, ст. 21 п.2.)

За правонарушения при работе с документированной информацией органы государственной власти, организации и их должностные лица несут ответственность в соответствии с законодательством Российской Федерации и субъектов Российской Федерации.

Рассмотренные выше способы и средства защиты информации в значительной мере являются универсальными и могут быть использованы в компьютерных сетях с любой машинной базой и для любой операционной платформы. Вместе с тем, в последние годы появились необходимость разработки совершенно новых средств защиты информации, предназначенных для противодействия так называемым компьютерным вирусам, способным уничтожить или искажать информацию, обрабатываемую на компьютерах.