Дәріс №14. Ақпараттық қауіпсіздік және оның құрушылар

Мақсаты: Локальды компьютерлік желілердегі ақпаратты қорғау мәселелерін қарастыру.

Негізгі ұғымдар: ақпараттық қауіпсіздік, санкцияланбаған ену, енуден қорғану, ақпарат тұтастығы.

Жоспар:

1 Ақпараттық қауіпсіздік және оларды құрушылар

2 Ақпарат қауіпсіздігіне қауіп төндіргіштер және олардың классификациясы

1 Ақпараттық қауіпсіздік және оларды құрушылар

Ақпараттық қауіпсіздік – мемлекеттік ақпараттық ресурстардың, сондай-ақ ақпарат саласында жеке адамның қүқықтары мен мүдделері қорғалуының жай-күйі.

Ақпаратты қорғау – ақпараттық қауіпсіздікті қамтамасыз етуге бағытталған шаралар кешені. Тәжірибе жүзінде ақпаратты қорғау деп деректерді енгізу, сақтау, өңдеу және тасымалдау үшін қолданылатын ақпарат пен қорлардың тұтастығын, қол жеткізулік оңтайлығын және керек болса жасырындылығын қолдауды түсінеді. Сонымен, ақпаратты қорғау – ақпараттың сыртқа кетуінің, оны ұрлаудың, жоғалтудың, рұқсатсыз жоюдың, өзгертудің, маңызына тимей түрлендірудің, рұқсатсыз көшірмесін алудың, бұғаттаудың алдын алу үшін жүргізілетін шаралар кешені.

Қауіпсіздікті қамтамасыз ету кезі қойылатын шектеулерді қанағаттандыруға бағытталған ұйымдастырушылық, бағдарламалық және техникалық әдістер мен құралдардан тұрады.

Ақпараттық қауіпсіздік режімін қалыптастыру кешендік мәселе болып табылады. Оны шешу үшін заңнамалық, ұйымдастырушылық, бағдарламалық, техникалық шаралар қажет.

Ақпараттық қауіпсіздіктің өте маңызды 3 жайын атап кетуге болады: қол жетерлік (оңтайлық), тұтастық және жасырындылық.

Қол жетерлік (оңтайлық) – саналы уақыт ішінде керекті ақпараттық қызмет алуға болатын мүмкіндік.

Тұтастық – ақпарттың бұзудан және заңсыз өзгертуден қорғалуы.

Жасырындылық – заңсыз қол жеткізуден немесе оқудан қорғау.

2 Ақпарат қауіпсіздігіне қауіп төндіргіштер және олардың классификациясы

Криптографиялық функцияны түрі мен мазмұны бойынша қарапайым компьютерлік «темір» деп атауға болады. Көбінесе бұл ДК-дің жүйелік тақшасының разъеміне тіркелетін кеңейту тақшасы. Сонымен қатар, оның басқа да нұсқалары болады. Мысалы: криптографиялық функцияларға ие кілт түріндегі нұсқасы кең тараған.

Бүтін тақшаны тек қана шифрлау функциялары үшін қолдану көп жағдайда тиімсіз болып саналады. Сондықтан аппараттық шифрлеуіштерді өндірушілер оларды көптеген қосымша мүмкіндіктермен толықтырады:

1. Кездейсоқ сандарды генерациялау. Бұл, бәрінен бұрын, криптографиялық кілттерді алу үшін керек. Сонымен қатар, қорғаныстың көптеген алгоритмдері оларды басқа мақсаттарға да пайдаланады. Қол қоюды есептеу барысында әрқашан жаңа кездейсоқ сан қажет болыпотырады.

2. Компьютерге кіруді бақылау. ДК-ді қосқан кезде құрылғы пайдаланушыдан дербес ақпарат енгізуін талап етеді (мысалы, кілті бар дискетті салу). Құрылғы енгізген кілтті таныған жағдайда ғана жұмыс жасауға рұқсат етіледі. Кері жағдайда әрі қарай жүктелу үшін жүйелік блокты ашып, одан шифрлеуішті алып шығу керек (бірақ ДК-дегі ақпарат та шифрленген болуы керек).

3. Операциялық жүйе файлдарының тұтастығын бақылау. Ол арқылы қастандық ойлаушыға мәліметтерді өзгертуге тиым салынады. Шифрлеуіште маңызды файлдар мен олардың әрқайсысы үшін алдын-ала есептелген бақылаулық қосындылар (немесе хэш-мәндер) сақталады. Егер жүктеу кезінде кемінде бір файлдың эталондық қосындысы сәйкес келмесе, компьютер бұғаттанып қалады.

Нақты мысал қарастырайық.  Фирмасының директоры В фирмасының директорына өте қажетті бір құжатты электрондық почта арқылы жіберді делік. Қарап отырсақ мұнда қандай коммуникация қауіпсіздігі пайда болады. В фирмасының директоры бұл хатты алғаннан соң келесідей сұрақтар пайда болады. Шыныменде осы хатты А фирмасының директоры жіберді ма? (Жіберуші идентификациясы). Бұл сұрақтың туындау себебі, бұл құжатты А фирмасының директоры ретінде басқа біреудің де жіберуі мүмкін. Бұл құжатты жіберу кезінде жолдан ұстап өзгертулер енгізген жоқ па? (жіберу аутентификациясы). Бұл құжатты қабылдаушыдан басқа адамдар оқыған жоқ па? (құпияның сақталуы). Бәрімізге белгілі құпияны сақтау үшін мәліметтерді шифрлау арқылы жетуге болады. (жіберу конфиденциялы). Берілген 3 мақсаттарды шифрлау базасы арқылы шешуге болады, онымен криптография айналысады.

Криптография – (Грекшеден аударылғанда Cryptos – құпия деген мағынаны береді) – бұл ғылым және шифрлау технологиясы мәліметтерді өзгертуге және авторлық құқықты сақтайды. Криптография тек қана тексттерді шифрланған формаға аударып қана қоймайды, сонымен қатар, жүйеде жұмыс жасап отырған кезде қолданушының аутентификациясын және идентификациясының берілуін қадағалап отырады. Криптография ең басты қауіпсіз комуникация болып табылады. Біз жүйеде жұмыс жасаған кезде тек қана адамдармен сөйлесіп қана қоймаймыз, сонымен  қатар басақада қызметтер барысында араласатынымыз бізге мәлім. Мысалға, біз қандай да бір серверден программа көшіретін болсақ, біз үшін осы сервер шығарушы – фирманың сервері ма, әлде біздің компьютерімізге вирус болып түсетін пираттық фирманың сервері емес па деген ойлар келеді. Жіберу кезінде құжатты жеке және публикалық кілттер арқылы шифрлауға болады., ал оның шифрын екі пардағы кілттер арқылы ашуға болады. Құжатты шифрлап жеке кілт арқылы жіберсе, оның шифрын публикалық кілт арқылы ашуға болады, және де керісінше. Жеке кілт тек қана иесіне белгілі оны басқа біреуге беруге болмайды, осы уақытта публикалық кілт барлық корреспонденттерге ашық жария етіледі.

Қос кілттер – жеке және публикалық – оларды аутентификация және құпияны сақтау үішн қолдануға болады.

Екі адамның мәлімет алмасуы үшін екі қос кілттер болуы қажет.

Шифрлау кезінде қос кілттің арқасында сіз публикалық кілтті корреспонденттерге жіберіп отыру қажет емес. Бұл кілтті жүйеге ашық жазып қою сізге ыңғалы болады. Сол кезде барлық адамдар осы кілтті өздеріне жазып алып, сіздерге құпиялы мәліттерді жібере алады.

Симметриялық және  асимметриялық кілттер арқылы шифрлау.

Әрбір уақытта ассиметриялық шифрлау симметриялық шифрлаудан эффективалық жағынан жеңіліп қалады,сондықтанда көптеген адамдар шифрлау жүйесінде ассиметиялық және дәстүрлі симметриялық шифрлау жүйесін қолданады. Ашық кілтпен шифрлау симметриялық кілт қолданылады, бұл жіберілген мәліметті ширлау үшін қолданылады. 

Цифрлық қолтаңба

Цифрлық қолтаңбаның механизмін түсндіру үшін, бір жақты хэш функияны енгізу қажет. Біржақты  хэш функция бұл функция, шығарылған мәліметтің ұзындығын белгілі ұзындыққа айналдрады, оны жіберу дайджесті деп атайды. 16 байттық хэш функцяны шығару кезінде сіз 16 байттық мәлімдеме аламыз.

Хештау – бұл біржақты, т.б, шифрлауға қарағанда қайтарымсыз. Дайджест боынша шығарылған мәлімдемені қайтаруға болмайды, бірақ оған идентификация жасауға болады. Нақты бір мысал қарастырайық.Мысалы А хэш функция арқылы дайджестті қандайда бір код ретінде ады делік (код 1). Одан соң ол А өзінің жеке кілтін пайдаланып, сол документтің аналогының қолтаңбасы болатын дайджестті шифрлайды. Содан соң А ашық текстті және цифрлық қолтаңбалы В жібереді. В абоненті оны публикалық кілт  арқылы шифрлап ашады да, бұл хаттың А келеніне сенімді болады. Осылай аутентиикация орындалады. Содан соң бұл хаттың жолда өзгертілмегені жөнінде тексеру қажет. Соңында В шифрлау арқылы дайджестті алады – код1. Содан кейін А сияқты В –да хэш – функцияны пайдаланып, дайджестті қандайда бір код ретінде алады – код2. Егер код1 және код2 бір біріне сай келсе, сонда ғана В бұл тексттің жолда өзгертілмегеніне көзін жетізеді.

Осындай жағдайда, цифрлық қолтаңба және электрондық қолтаңба – бұл әдіс жіберушінің аутентификациясы немесе авторлық қолтаңба, бұл мәліметтің мазмұнының өзгертілмеуіне себеп. Цифрлық қолтаңба шифрлау арқылы қойылуыда мүмкін, сонымен қатар ашық жіберуде орындалуы мүмкін.

Бақылау сұрақтары:

1. Ақпарат «қауіптілігі» түсінігі нені тұспалдайды?

2. Ақпараттық қауіпсіздік деген не?

3. Ақпараттық қауіпсіздік аспектілерін атаңыз.

Глоссарий

1. Кілт- программаларға, жадтың берілген блоктарына немесе басқа да объектілерге ұқсастыру және тез қатынас құру, сондай-ақ оларды қорғау үшін пайдаланатын символдардың немесе кодтардың жиынтығы.

2. Қорғау- есептеу жүйелерін түтастай не жекелеген бөліктерін қолданудың немесе оларға қатынас құруды шектеу құралы.

3. Қорғаныс стратегиясы- рұқсат етілмеген қатынас құрудан жүйені қорғау белгілерін түріне қарай анықтау.

4. Криптография- кодпен жазылған құпия жаззу.(Құпия кодтарды пайдалану).

5. Ашық кілттер инфрақұрлымы - Қазақстан Республикасының электронды құжат және электронды цифрлық қолтаңба туралы заңнамасына сәйкес тіркеу куәліктерін басқаруға бағытталған ақпараттық жүйелер, ұйымдастырушылық және техникалық іс-шаралар кешені.

Қолданылған әдебиеттер:

[1], [3], [8], [10], [11]