- •Основні теоретичні поняття криптології План
- •Основні терміни, визначення та предмет науки «криптологія»
- •Криптоаналіз
- •1 Основні терміни, визначення та предмет науки «криптологія»
- •2 Криптоаналіз
- •Контрольні запитання
- •Список літератури
- •Шифри перестановки План
- •2 Таблиці для шифрування
- •2.1 Таблиці для шифрування. Проста перестановка
- •2.2 Таблиці для шифрування. Одиночна перестановка по ключу
- •2.3 Таблиці для шифрування. Подвійна перестановка
- •2.4 Застосування магічних квадратів
- •Список літератури
- •Шифри простої заміни План
- •1 Полібіанський квадрат
- •2 Система шифрування Цезаря
- •Криптоаналіз шифру Цезаря
- •3 Аффінна система підстановок Цезаря
- •4 Система Цезаря із ключовим словом
- •5 Таблиці Трисемуса
- •Криптографічний аналіз системи одноалфавітної заміни
- •6 Біграмний шифр Плейфейра
- •7 Криптосистема Хілла
- •8 Система омофонів
- •Додаток а
- •Список літератури
- •Шифри складної заміни План
- •1 Шифр Гронсфельда
- •Криптоаналіз шифру Гронсфельда
- •2 Система шифрування Віженера
- •3 Шифр “Подвійний квадрат Уітстона”
- •4 Одноразова система шифрування
- •5 Шифрування методом Вернама
- •6 Роторні машини
- •7 Шифрування методом гамірування
- •Список літератури
- •Блочні шифри План
- •1 Алгоритм des
- •1 Алгоритм des
- •Обчислення значень ключів
- •Аналіз ефективності алгоритму des
- •Список літератури
- •Асиметричні криптосистеми План
- •Керування ключами План
- •1 Алгоритм шифрування Діффі - Хеллмана
- •Керування ключами
- •1 Алгоритм шифрування Діффі - Хеллмана
- •Контрольні питання
- •Список літератури
- •Криптографічні протоколи План
- •Контрольні запитання
- •Список літератури
- •Ідентифікація та перевірка істинності План
- •Інформаційна безпека План
- •1.2 Основні складові інформаційної безпеки
- •1.3 Важливість і складність проблеми інформаційної безпеки
- •2 Розповсюдження об’єктно-орієнтованого підходу на інформаційну безпеку.
- •2.1 Про необхідність об’єктно-орієнтованого підходу до інформаційної безпеки
- •2.2 Основні поняття об’єктно-орієнтованого підходу
- •2.3 Вживання об’єктно-орієнтованого підходу до розгляду систем, що захищаються
- •2.4 Недоліки традиційного підходу до інформаційної безпеки з об’єктної точки зору
- •2.5 Основні визначення і критерії класифікації загроз
- •Контрольні запитання
- •Список літератури
- •Інформаційна безпека Найпоширеніші загрози План
- •1 Найпоширеніші загрози доступності
- •1 Найпоширеніші загрози доступності
- •2 Деякі приклади загроз доступності
- •3 Шкідливе програмне забезпечення
- •4 Основні загрози цілісності
- •5 Основні загрози конфіденційності
- •Список літератури
- •1.2 Механізми безпеки
- •1.3 Класи безпеки
- •2 Інформаційна безпека розподілених систем. Рекомендації X.800
- •2.1 Мережні сервіси безпеки
- •2.2 Мережні механізми безпеки
- •2.3 Адміністрування засобів безпеки
- •3 Стандарт iso/iec 15408 "Критерії оцінки безпеки інформаційних технологій"
- •3.1 Основні поняття
- •3.2 Функціональні вимоги
- •3.3 Вимоги довір’я безпеці
- •4 Гармонізовані критерії європейських країн
- •5 Інтерпретація "Оранжевої книги" для мережних конфігурацій
- •Список літератури
- •Інформаційна безпека Управління ризиками План
- •2 Підготовчі етапи управління ризиками
- •3 Основні етапи управління ризиками
- •Список літератури
4 Основні загрози цілісності
На другому місці за розмірами збитку (після ненавмисних помилок і упущень) стоять крадіжки і фальсифікації. За даними газети USA Today, ще в 1992 році в результаті подібних протиправних дій з використанням персональних комп’ютерів американським організаціям був завданий загального збитку у розмірі 882 мільйонів доларів. Можна припустити, що реальний збиток був набагато більше, оскільки багато організацій із зрозумілих причин приховують такі інциденти; не викликає сумнівів, що в наші дні збиток від такого роду дій виріс багато разів.
В більшості випадків винуватцями виявлялися штатні співробітники організацій, відмінно знайомі з режимом роботи і заходами захисту. Це ще раз підтверджує небезпеку внутрішніх загроз, хоча говорять і пишуть про них значно менше ніж про зовнішні.
Раніше ми проводили відмінність між статичною і динамічною цілісністю. З метою порушення статичної цілісності зловмисник (як правило, штатний співробітник) може:
-
ввести невірні дані;
-
змінити дані.
Іноді змінюються змістовні дані, іноді - службова інформація. Показовий випадок порушення цілісності мав місце в 1996 році. Oracle (особистий секретар віце-президента), що служить, пред’явила судовий позов, звинувачувавши президента корпорації в незаконному звільненні після того, як вона відкинула його залицяння. На доказ своєї правоти жінка привела електронний лист, нібито відправлене її начальником президенту. Зміст листа для нас зараз не важливий; важливий час відправки. Річ у тому, що віце-президент пред’явив, у свою чергу, файл з реєстраційною інформацією компанії стільникового зв’язку, з якого виявлялося, що в указаний час він розмовляв по мобільному телефону, знаходячись далеко від свого робочого місця. Таким чином, в суді відбулося протистояння "файл проти файлу". Очевидно, один з них був фальсифікований або змінений, тобто була порушена його цілісність. Суд вирішив, що підроблювали електронний лист (секретарка знала пароль віце-президента, оскільки їй було доручено його міняти), і позов був знехтуваний...
(Теоретично можливо, що обидва фігуруючих на суді файлу були справжніми, коректними з погляду цілісності, а лист відправили пакетними засобами, проте, на наш погляд, це була б дуже дивна для віце-президента дія.)
З приведеного випадку можна зробити висновок не тільки про загрози порушення цілісності, але і про небезпеку сліпого довір’я комп’ютерній інформації. Заголовки електронного листа можуть бути підроблені; лист в цілому може бути фальсифіковане особою, що знає пароль відправника (ми наводили відповідні приклади). Відзначимо, що останнє можливе навіть тоді, коли цілісність контролюється криптографічними засобами. Тут має місце взаємодія різних аспектів інформаційної безпеки: якщо порушена конфіденційність, може постраждати цілісність.
Ще один урок: загрозою цілісності є не тільки фальсифікація або зміна даних, але і відмова від досконалих дій. Якщо немає засобів забезпечити "неотказуемость", комп’ютерні дані не можуть розглядатися як доказ.
Потенційно уразливі з погляду порушення цілісності не тільки дані, але і програми. Упровадження розглянутого вище за шкідливий ПО - приклад подібного порушення.
Загрозами динамічної цілісності є порушення атомарності транзакцій, переупорядковування, крадіжка, дублювання даних або внесення додаткових повідомлень (мережних пакетів і т.п.). Відповідні дії в мережному середовищі називаються активним прослуховуванням.