33 Понятие об электронной цифровой подписи и сертификатах. Организационно-правовые аспекты защиты информации и авторское право.

Электронная цифровая подпись (ЭЦП) – это подтверждение подлинности и целостности электронного документа. Проверка подписи осуществляется с помощью программного обеспечения (средства ЭЦП) и сертификата открытого ключа автора. С помощью ЭЦП можно подписать любой электронный файл, после чего он становится полноценным документом. Если в такой документ в процессе пересылки будут внесены даже незначительные изменения, то это обнаружится. Сертификат открытого ключа содержит персональную информацию о владельце, что позволяет однозначно идентифицировать автора документа.

Использование электронных сообщений (документов) в коммерческих целях впервые начало применяться более 30 лет назад. Вследствие абсолютной новизны реализуемых при этом технологий и отсутствия аналогий в традиционных механизмах заключения сделок использование электронного документооборота вызвало определенные проблемы в его правовой квалификации.

В электронной торговле, осуществляемой посредством интернет-магазинов, как и в обычной розничной торговле, как правило, не требуется составление письменных договоров. Для их заключения достаточно лишь факта подтверждения волеизъявления сторон. Международная практика выработала ряд механизмов, позволяющих установить факт заключения сделки в интернет-магазинах

Характерной особенностью электронного документа является то, что содержащаяся в нем информация представлена в электронно-цифровом виде, вследствие чего, в отличие от бумажных документов, у электронных отсутствует жесткая привязка к материальному носителю: один и тот же электронный документ может одновременно существовать на разных носителях. При этом все идентичные друг другу экземпляры электронного документа, зафиксированные на материальных (машинных) носителях, являются оригиналами (подлинниками) и, соответственно, имеют равную юридическую силу. У электронного документа не может существовать его электронной копии.

Наряду со всеми теми преимуществами, которые предоставляет технология электронной цифровой подписи, она все же имеет один изъян - проблему распространения открытых ключей. Дело в том, что установление подлинности и источника происхождения электронного документа производится на основе соответствующего открытого ключа, при этом пользователь должен быть уверен на все 100%, что данный открытый ключ принадлежит именно тому лицу, чью электронную цифровую подпись он проверяет. Существует опасность, что какой-либо злоумышленник осуществит подмену открытого ключа электронной цифровой подписи пользователя и тем самым сможет действовать от его имени, в том числе для совершения каких-либо незаконных операций.

Решением данной проблемы является использование карточек (сертификатов) открытых ключей электронных цифровых подписей. Сертификат открытого ключа ЭЦП представляет собой документ, удостоверяющий обладателя электронной цифровой подписи, и открытый ключ, который может использоваться для ее проверки. Закон РБ "Об электронном документе" устанавливает, что принадлежность открытого ключа проверки подписи владельцу секретного ключа подписи удостоверяется путем постановки этим лицом подписи (подписи и печати) на карточке открытого ключа проверки подписи.

Значение информации и её защиты

Роль информации в современном мире

Современный мир характеризуется такой интересной тенденцией, как постоянное повышение роли информации. Как известно, все производственные процессы имеют в своём составе материальную и нематериальную составляющие. Первая – это необходимое для производства оборудование, материалы и энергия в нужной форме (то есть, чем и из чего изготавливается предмет). Вторая составляющая – технология производства (то есть, как он изготавливается).

Столь же ярко демонстрирует повышение роли информации в производственных процессах появление в XX веке такого занятия, как промышленный шпионаж. Не материальные ценности, а чистая информация становится объектом похищения.

В прошлые века человек использовал орудия труда и машины для обработки материальных объектов, а информацию о процессе производства держал в голове. В XX столетии появились машины для обработки информации – компьютеры, роль которых все повышается.

Указанные тенденции однозначно свидетельствуют, что начинающийся XXI век станет информационным веком, в котором материальная составляющая отойдёт на второй план.

С повышением значимости и ценности информации соответственно растёт и важность её защиты.

С одной стороны, информация стоит денег. Значит утечка или утрата информации повлечёт материальный ущерб. С другой стороны, информация – это управление. Несанкционированное вмешательство в управление может привести к катастрофическим последствиям в объекте управления – производстве, транспорте, военном деле. Например, современная военная наука утверждает, что полное лишение средств связи сводит боеспособность армии до нуля.

Защиту информации (ЗИ) в рамках настоящего курса определим так: меры для ограничения доступа к информации для каких-либо лиц (категорий лиц), а также для удостоверения подлинности и неизменности информации.

Вторая задача может показаться слабо связанной с первой, но на самом деле это не так. В первом случае владелец информации стремится воспрепятствовать несанкционированному доступу к ней, а во втором случае – несанкционированному изменению, в то время как доступ для чтения разрешён. Как мы позже увидим, решаются эти задачи одними и теми же средствами.

Виды защиты прав производителей программного обеспечени

Существует два вида защиты прав производителей программных продуктов - юридическая и техническая.

Юридическая защита основана на том, что создана достаточная правовая база для охраны прав авторов интеллектуальной собственности и в том числе компьютерных программ.

Юридическая защита предусматривает гражданскую, уголовную и административную ответственность за нарушение авторских прав создателей программных продуктов. Юридическая защита является эффективной, так как она гарантирует возмещение ущерба автору, права которого были нарушены. (Подробнее аспекты юридической защиты будут рассмотрены в следующей главе.)

Техническая защита направлена на то, чтобы техническими средствами затруднить или сделать невозможным использование программного продукта незаконным пользователем.

Техническими средствами защиты программных продуктов можно реализовать несколько подходов к данной проблеме:

1) противодействовать копированию программы на другой диск;

2) разрешив собственно копирование программы, противодействовать попыткам запуска и/или исполнения незаконной копии;

Заметим, что при таких подходах необходимо также противодействовать попыткам нарушителя исследовать легальную копию программы;

3) не противодействовать ни копированию, ни исполнению программы, но, сопроводив ее скрытой информацией об управлении правами, в случае необходимости иметь достоверную улику, подтверждающую авторство и незаконное использование.

Новые технологии защиты оригинальных продуктов корпорация Microsoft включила в операционную систему Windows 2000 и пакет Office 2000. На все лицензионные компакт-диски, содержащие операционную систему, наносится голографическое изображение на лицевой стороне. «При повороте диска под определенным углом к источнику света на голограмме проявляется название продукта и специфичеcкие для этого продукта графические символы, занимающие всю поверхность диска от сетевого отверстия до внешнего края... на системные блоки компьютеров, приобретаемых с предустановленной операционной системой Windows 2000, на заметном месте должна наклеиваться новая этикетка с «сертификатом подлинности» (Certificate of Authenticity, COA).

Для определения надежности механизмов, алгоритмов и методов, используемых для защиты авторских прав в области программного обеспечения, возьмем за основу базовые понятия и положения существующих стандартов по оценке безопасности информационных технологий.

Основополагающими документами в области оценки безопасности информационных технологий являются:

· «Критерии оценки надежных компьютерных систем» (Trusted Computer Systems Evaluation Criteria, TCSEC) [5], известные под названием «Оранжевая книга» (по цвету обложки), опубликованные в 1983 году Министерством обороны США;

· «Критерии оценки безопасности информационных технологий» (Information Technology Security Evaluation Criteria, ITSEC) [6], известные под названием «Гармонизированные критерии Европейских стран», опубликованные в 1991 году от имени соответствующих органов Франции, Германии, Голландии и Великобритании;

· Руководящие документы Гостехкомисии России [7-11], являющиеся российскими нормативными документами по критериям оценки защищенности средств вычислительной техники и автоматизированных систем, принятые в 1992 году.

· И наконец, «Общие критерии оценки безопасности информационных технологий» (далее - Общие критерии), являющиеся международным стандартом, в котором отражена современная нормативная база оценки безопасности информационных технологий; принятые в июне 1999 года. В разработке этого стандарта участвовали США, Канада, Англия, Франция, Голландия.

С позиций перечисленных нормативно-технических документов оценка безопасности информационных технологий - это методология исследования свойств безопасности продукта или системы информационных технологий.

При оценке уязвимости с точки зрения противодействия внешним угрозам необходимо:

n произвести анализ уязвимости (слабых мест) механизма;

n оценить мощность механизма.

Анализ уязвимости предполагает выявление возможных недостатков механизма защиты, которые могли бы быть использованы злоумышленником для взлома защиты. Предполагается различный уровень подготовленности и оснащенности злоумышленника.

На основе анализа уязвимости оценивается мощность механизма защиты.

Мощность механизма защиты - способность защитного механизма противостоять прямым атакам.

Для мощности механизма защиты определены три градации мощности - базовая, средняя и высокая.

Мощность механизма защиты оценивается как базовая, если анализ показывает, что механизм обеспечивает адекватную защиту против непреднамеренного или случайного нарушения безопасности объекта оценки нападавшими, обладающими низким потенциалом нападения.

Другими словами, механизм защиты обладает базовой мощностью, если он способен противостоять отдельным случайным угрозам (атакам).

Мощность механизма защиты оценивается как средняя, если анализ показывает, что механизм обеспечивает адекватную защиту против нападавших, обладающих умеренным потенциалом нападения.

Другими словами, механизм защиты обладает средней мощностью, если он способен противостоять злоумышленнику с ограниченными ресурсами и возможностями.

Мощность механизма защиты оценивается как высокая, если анализ показывает, что механизм обеспечивает адекватную защиту против нападавших, обладающих высоким потенциалом нападения.

О высокой мощности механизма защиты стоит говорить в случае, если защита может быть нарушена только злоумышленником с высокой квалификацией, набор возможностей и ресурсов которого выходит за пределы практичности.