21. Правовое обеспечение информационной безопасности

Правовое обеспечение безопасности регламентируется стандартами информационной безопасности:

Стандарт CSEC предложен в 1988г Национальным Институтом стандартов и технологий США, определяет перечень показателей информационной безопасности, таких как политика безопасности, маркировка, идентификация и учет объектов системы, уверенность в безопасности системы.

Стандарт ITSEC принят позже в 90-х годах, является основным Европейским стандартом.

В РБ существуют следующие стандарты информационной безопасности:

• стандарт защиты информации (основные термины и определения)

• стандарт средств вычислительной техники (защита от несанкционированного доступа к информации)

• стандарт системы обработки информации (модель услуг и сертификации протокола)

Кроме стандартов используются системы правовой сертификации:

1. «Оранжевая книга» - разработана Министерством безопасности США. Определяет перечень, по которому выделяется та или иная категория безопасности

2. система европейской сертификации – European Union Information Technology Security Evaluation Criteria.

Для информационной безопасности используются специальные ключи, сертификаты и протоколы.

Ключи – как алгоритмы шифрования информации, согласно требованиям криптографии ключ - это число большой разрядности.

Сертификаты – это электронные документы, содержащие цифровую информацию (ключ), которая подтверждает . безопасность сервера, соотнося схему шифрования с имеющимся ключом;

Выделяются следующие ключи:

DES (Data Encryption Standard) – предложен в 1977г в США, 56 битный ключ, на практике применяется тройной DES

IDEA (International Data Encryption Algorithm) – применяется в швейцарских банках, 128 разрядный ключ;

CASТ – используются варианты 40-разрядный, 128-разрядный и новый 256 разрядный ключ, предложенный Национальным институтом стандартов и технологий США;

FWZ-1 с длиной ключа 48 бит;

RC-2 и RC-4 – ключи переменной длины для шифрования сотовой связи;

RSA с длиной ключа 512/1024 бит.

Алгоритмы контроля целостности:

MD5 с длиной ключа 128 бит;

SHA-1 с длиной ключа 160 бит.

Протоколы обмена ключевой информацией:

IKE (ISAKMP/Oakley);

FWZ;

SKIP;

Manual IPSec.

SSL (Secure Socket Layer) – применяются для обеспечения шифрования информации в Internet; который "наслаивается" на стандартные протоколы HTTP, FTP и позволяет использовать различные методы шифрования с учетом разной степени защищенности, может использовать proxy-сервер и сертификат Х509v3 (разработчик - фирма Netscape);

• протокол SHTTP – идентичен протоколу SSL и является расширением языка HTTP;

• сертификаты X.509х3 – это сертификат для аутентификации серверов и пользователей, сертификаты служат основой для методики кодирования с использованием алгоритма открытого ключа;

• DSS – алгоритм шифрования цифровой подписи

• SET (Secure Electronic Transaction) – ключ для проверки подлинности кредитных карточек Visa и MasterCard.

Электронные ключи - устройства, подключаемые к одному из внешних разъемов компьютера и "прозрачные" для внешних устройств. Электронный ключ представляет собой устройство, как правило, со специальной заказной микросхемой, предназначенной для подключения к компьютеру. Принцип работы ключа основан на функциональном принципе шифрования. По сложности ключи можно разделить на три группы в зависимости от строения входных и выходных данных:

• простейшие работают по принципу " есть ключ - нет ключа";

• стандартные работают по принципу внешнего запоминающего устройства, доступного для чтения заранее записанного туда шифра;

• сложно устроенные по принципу реализованной аппаратно математической функции с парольным ответом.

Электронная подпись - это некоторое информационное сообщение, признаваемое участниками данной ассоциации в качестве подписи. Процедура цифрового подписывания заключается в том, что на основе содержимого файла и ключа подписывания вычисляется некоторый набор символов, называемый цифровой подписью. Алгоритмы вычислений могут быть различны, но все они используют сжатие исходного документа с получением функции. Адресату, получившему документ по электронной почте, достаточно запустить программу, вычисляющую на основе содержимого файла и "цифровой подписи" некое новое значение и сравнивающую его с открытым образцом цифровой подписи. Равенство значений доказывает, что документ не модифицировался, т.е. именно этот документ был подписан соответствующим секретным ключом подписывания. Цифровая подпись делает потенциально юридически полноценным документом не распечатку, а сам компьютерный файл.