Все_лекции_Горбенко

Рисунок 6 – Схема атаки BEAST

Пояснення до рисунку:

6.2.6Атаки CRIME та BREACH

6.2.7Атака на доповнення

6.2.8Атаки, пов’язані з використанням RC4

Атаки на протокол SSL/TLS, пов’язані з використанням RC4, викликані тим, що RC4 має відомі відхилення від рівноімовірного розподілу імовірності появи певних байтів на початку шифруючої гами [25]. RC4 рекомендовано для використання з метою захисту від деяких інших атак на протокол SSL/TLS [26], однак цю рекомендацію не слід приймати: атаки з використанням побічних каналів потребують генерації порівняно великої кількості повідомлень, що потенційно може бути виявлено, тоді як атаки на RC4 потребують лише пасивного спостереження [25].

6.2.9Атака обрізання

6.2.10Неповна (неправильна) перевірка сертифіката

6.2.11Використання незахищеного контенту на захищеній сторінці

Основніпроблеми та напрями їх вирішення За результатами проведеного аналізузроблено наступні висновки.

1)Необхідно (доцільно) гармонізувати стандарт ISO/IEC 9594-8 у редакції ISO/IEC FDIS 9594-8 [6] одразу після введення його в дію на міжнародному рівні.

2)Необхідно (доцільно) провести окреме дослідження щодо шляхів забезпечення сумісності криптографічних перетворень при транскордонній взаємодії.

3)Для забезпечення безперешкодної транскордонної взаємодії необхідно розробити механізми довіреного розповсюдження кореневого сертифіката Центрального засвідчувального органу України, зокрема у складі операційних систем, веб-браузерів.

4)Для попередження атаки SSL Strip рекомендовано використовувати політику HSTS [15], яка забезпечує неможливість взаємодії клієнта і веб-сайту по незахищеному з’єднанню.

5)Для попередження атак повторного узгодження параметрів необхідно використовувати реалізації протоколу SSL/TLS з підтримкою поля Renegotiation Info, що несе в собі інформацію, створену із використанням криптографічних перетворень на основі певних даних про клієнта і веб-сайт, про останнє з'єднання між клієнтом і сервером. Іншим засобом протидії є заборона повторного узгодження криптографічних параметрів за ініціативою клієнта.

Перелік джерел

1. Brussels, XXX. COM(2012) 238/2. Proposal for a REGULATION OF THE EUROPEAN PARLIAMENT AND OF THE COUNCIL on electronic identification and trust services for electronic transactions in the internal market (Text with EEA

relevance) {SWD(2012) 135} {SWD(2012) 136}. 2. Інформаційні технології. Взаємозв'язок відкритих систем. Каталог. Частина 8. Основні положення щодо сертифікації відкритих ключів та атрибутів (ІSO/ІEC 9594-8:2001, ІDT): ДСТУ ISO/IEC 9594- 8:2006— [Чинний від 2008-01-01]. — К. : Держспоживстандарт України, 2006. —(Національні стандарти України). — Текст: укр. 3. Міністерство юстиції України. Адміністрація державної служби спеціального зв’язку та захисту інформації України. Наказ від 20.08.2012 № 1236/5/453 Про затвердження вимог до форматів, структури та протоколів, що реалізуються у надійних засобах електронного цифрового підпису: за станом на 1 груд. 2013 р. [Електронний ресурс]: — Режим доступу: http://zakon1.rada.gov.ua/laws/show/z1398-12 4. Веб-сторінка, присвячена стандарту ISO/IEC 9594-8:2005 : за станом на 1 груд. 2013 р. [Електронний ресурс] : / International Organization for Standardization/ International Electrotechnical Commission — Режим доступу: http://www.iso.org/iso/iso_catalogue/catalogue_tc/catalogue_detail.ht m?csnumber=43793. 5. Веб-сторінка, присвячена стандарту ISO/IEC 9594-8:2008 : за станом на 1 груд. 2013 р. [Електронний ресурс] : / International Organization for Standardization/ International Electrotechnical Commission — Режим доступу: http://www.iso.org/iso/home/store/catalogue_ics/catalogue_detail_ics.h tm?csnumber=53372.

ЛЕКЦІЯ №5 з ДИСЦИПЛІНИ

«ТЕХНОЛОГІЇІНФРАСТРУКТУР ВІДКРИТОГО КЛЮЧА »

Тема лекції

«Вимоги до архітектури ІВК (ЕЦП), побудова та аналіз шляхів сертифікації».

ОСНОВНІ НАВЧАЛЬНІ ПИТАННЯ.

5.1ВИМОГИ ТА РЕАЛІЗАЦІЯ АРХІТЕКТУРИ ІВК (ЕЦП)

5.2ПОБУДОВА ТА АНАЛІЗ ШЛЯХІВ СЕРТИФІКАЦІЇ ІВК (ЕЦП)

5.3СУТНІСТЬ ВИМОГ ТА ПРИНЦИПИ ПОБУДУВАННЯ СИСТЕМИ ІВК ДЛЯ МАШИНОЧИТАЄМИХ ДОКУМЕНТІВ (ПАСПОРТІВ)

5.4 ВИМОГИ ДО СТРУКТУРИ ТА ПРИЗНАЧЕННЯ КОМПЛЕКСІВ ТЕХНІЧНИХ ЗАСОБІВ ІВК МАШИНОЧИТАЄМИХ ДОКУМЕНТІВ

Перелік джерел до самостійної роботи

4.Горбенко Ю.І., Горбенко І.Д. Інфраструктури відкритих ключів . Системи ЕЦП. Теорія та практика. Харків. Форт. 2010 , 593с.

5.Горбенко І.Д. Електронний документо обіг в державному управлінні, навчальний . посібник, Київ – Харків. Форт. 2009 , 226с.

6.Горбенко І.Д., Горбенко Ю.І. Прикладна криптологія. Монографія. Харків, ХНУРЕ, Форт, 2012 р., 1 та 2 видання, 878 с.

Джерела розробки

1)Положення про порядок розроблення, виробництва та експлуатації засобів криптографічного захисту конфіденційної інформації та відкритої інформації з використанням електронного цифрового підпису. Затверджене наказом Адміністрації Держспецзв’язку України № 141 від 20.07.2007 р.

2)Інструкція про порядок постачання і використання ключів до засобів криптографічного захисту інформації. Затверджена наказом Адміністрації Держспецзв’язку України № 114 від 12.06.2007 р.

3)Технічні вимоги ICAO “Machine Readable Travel Documents Technical Report, PKI for Machine Readable Travel Documents Offering ICC Read-Only Access, Version - 1.1, Date - October 01, 2004, published by authority of the secretary general, International Civil Aviation Organization” (ІВК для машинозчитуваних проїзних документів з безконтактним електронним чипом з доступом на читання, версія 1.1, видана 01.10.2004 р. з дозволу генерального секретаріату ICAO).

4)Технічні вимоги BSI “Technical Guideline TR-03110. Advanced Security Mechanisms for Machine Readable Travel Documents – Extended Access Control (EAC), Version 1.11, 2008” (Технічні вимоги Федерального відомства Німеччини з безпеки в інформаційних технологіях TR-03110. Удосконалені механізми захисту для машинозчитуваних проїзних документів – EAC, версія 1.11, 2008 р.).

5)Закони України “Про електронний цифровий підпис” від 22.05.2003 р. та “Про електронні документи та електронний документообіг” від 22.05.2003 р.

6)Постанова Кабінету Міністрів України від 13.06.2004 р. №903 “Про затвердження Порядку акредитації центру сертифікації ключів”.

7)Постанова Кабінету Міністрів України від 28.10.2004 р. №1451 “Про затвердження Положення про центральний засвідчувальний орган”.

8)Постанова Кабінету Міністрів України від 28.10.2004 р. №1452 “Про затвердження Порядку застосування електронного цифрового підпису органами державної влади, органами місцевого самоврядування, підприємствами, установами та організаціями державної форми власності”.

9)Постанова Кабінету Міністрів України від 28.10.2004 р. №1453 “Про затвердження Типового порядку здійснення електронного документообігу в органах виконавчої влади”.

10)Постанова Кабінету Міністрів України від 28.10.2004 р. №1454 “Про затвердження Порядку обов’язкової передачі документованої інформації”.

11)Постанова Кабінету Міністрів України № 680 від 26.05.2004 р. “Про затвердження Порядку засвідчення наявності електронного документа (електронних даних) на певний момент часу”.

12)Правила посиленої сертифікації. Затверджені наказом ДСТСЗІ СБ України № 50 від 10.05.2006 р.

13)Технічні специфікації форматів представлення базових об’єктів національної системи електронного цифрового підпису. Затверджені спільним наказом ДСТСЗІ СБ України та Держзв’язку Міністерства транспорту та зв’язку України № 99/166 від 11.09.2006 р.

14)ДСТУ 4145-2002 “Інформаційні технології. Криптографічний захист інформації. Цифровий підпис, що ґрунтується на еліптичних кривих. Формування та перевіряння”.

15)ДСТУ ISO/IEC 11770-3 “Інформаційні технології. Методи захисту. Управління ключовими даними. Частина 3. Протоколи, що ґрунтуються на асиметричних криптографічних перетвореннях”.

16)ДСТУ ISO/IEC 15946-3 “Інформаційні технології. Методи захисту. Криптографічні методи, що ґрунтуються на еліптичних кривих. Частина 3. Установлення ключів”.

17)ДСТУ ГОСТ 28147:2009 “Системы обработки информации. Защита криптографическая. Алгоритм криптографического преобразования”.

18)ДСТУ ISO/IEC 10118-3 “Інформаційні технології. Методи захисту. Геш-функції. Частина 3. Спеціалізовані геш-функції”.

19)Міждержавний стандарт ГОСТ 34.310-95 “Информационные технологии. Криптографическая защита информации. Процедуры выработки и проверки электронной цифровой подписи на базе ассиметричного криптографического алгоритма”.

20)Міждержавний стандарт ГОСТ 34.311-95 “Информационная технология. Криптографическая защита информации. Функция хеширования”.

21)Міжнародний стандарт ISO/IEC 18033-3 “Information technology – Security techniques – Part 3: Block ciphers”.

22)Федеральний стандарт США FIPS 197 “Advanced Encryption Standard (AES)”.

23)Міжнародні технічні рекомендації PKCS #1 “RSA Cryptography Standard (v2.1)”.

24)Федеральний стандарт США FIPS 186-3 “Digital Signature Standard”.

25)Міжнародний стандарт ISO/IEC 15946-2 “Information technology - Security techniques -Cryptographic techniques based on elliptic curves - Part 2: Digital Signatures”.

26)Федеральний стандарт США FIPS 180-3 “Secure Hash Standard (SHS)”.

27)Технічні рекомендації ANSI X9.42 “Agreement of Symmetric Keys Using Discrete Logarithm Cryptography”.

5.1ВИМОГИ ТА РЕАЛІЗАЦІЯ АРХІТЕКТУРИ ІВК (ЕЦП)

5.1.1 Нормативно-правова база створення та застосування системи

ЕЦП в Україні

У 2003 році в Україні було прийнято, а з 1 січня 2004 року надано чинності Законам України «Про електронний цифровий підпис» та «Про електронні документи та електронний документообіг» [2–3]. Ці документи заклали основу створення систем електронного цифрового підпису як у державному масштабі, так і на корпоративному рівні, на рівні окремих інформаційно-телекомунікаційних систем тощо. Для ефективного використання та якісного надання послуг ЕЦП необхідно вирішувати багато технологічних і технічних проблем.

Аналіз практичного досвіду впровадження технологій електронного документообігу [57–60, 113], технологій інфраструктури відкритого ключа зарубіжних країн [5, 51, 63–73, 81–83, 146–157, 220–227], практичний досвід вітчизняних фахівців [6, 61–62, 74–80, 101–107, 128–131, 140–145] дозволяє сформулювати такі основні проблеми створення системи ЕЦП на об’єктах інформаційної діяльності:

1.Регулювання взаємовідносин між учасниками процесів надання ЕЦП і сертифікації ключів.

2.Обґрунтування вибору архітектури системи ЕЦП з урахуванням завдань, що вирішуються на рівні відомства, державної установи,

організацій, суспільних організацій (системний рівень).

3.Визначення та закріплення основних функціональних вимог до системи ЕЦП та сертифікації ключів (процедурно-функціональний рівень).

4.Визначення функціональної структури системи ЕЦП, порядку взаємодій із центрами сертифікації ключів з метою забезпечення необхідної якості надання послуг (функціонально-технічний рівень).

5.Обґрунтування вибору та ефективної реалізації апаратних засобів ЕЦП, у тому числі засобів криптографічного захисту (технічний рівень).

Аналіз указаних проблемних завдань дає змогу зробити висновок, що розроблення та впровадження системи ЕЦП в рамках об’єкта інформаційної діяльності є окремою конструкторською та інженерною задачею.

Важливим етапом створення системи ЕЦП є первинне обстеження об’єкта інформаційної діяльності, метою якого є збір та аналіз даних про інформацію та інші ресурси інформаційно-

телекомунікаційних систем, існуючу систему забезпечення безпеки інформації, аналіз вимог щодо необхідності забезпечення цілісності, достовірності електронних документів з метою прийняття та обґрунтування рішення щодо впровадження системи ЕЦП, визначення стратегії, основних підходів використання послуг ЕЦП, встановлення правил застосування сертифікатів тощо.

Як правило, основними задачами обстеження є:

1.Аналіз існуючої організаційно-штатної структури забезпечення безпеки інформації організації чи відомства.

2.Аналіз чинних розпорядчих документів організації з питань організації електронного документообігу та захисту інформації в цілому.

3.Визначення та класифікація інформаційних ресурсів організації, що особливо потребують забезпечення цілісності та справжності.

4.Первинний аналіз ІТС (перш за все систем електронних документів та електронного документообігу) організації та визначення вимог щодо можливості використання надійних засобів ЕЦП.

5.Розробка моделі загроз та висування організаційних вимог щодо забезпечення цілісності інформації.

Досягнення мети та вирішення сформульованих задач можливе на основі визначеної методики, яка об’єднує зміст і порядок проведення обстеження об’єкта інформаційної діяльності.

Основними нормативно-правовими актами для створення системи ЕЦП в

Україні є такі:

21.Закон України «Про електронний цифровий підпис» від 22.05.2003 № 852-IX.

22.Закон України «Про електронні документи та електронний документообіг» від 22.05.2003 №851-IV.

23.Директива 1999/93/ЄС Європейського парламенту та Ради від 13 грудня 1999 року «Про систему електронних підписів, що застосовується в межах Співтовариства».

24.Постанова КМУ від 26.05.2004 № 680 «Порядок засвідчення наявності электронного документа (електронних даних) на певний момент часу».

25.Постанова КМУ від 13.06.2004 № 903 «Порядок акредитації центру сертифікації ключів».

26.Постанова КМУ від 28.10.2004 № 1451 «Положення про центральний засвідчувальний орган».

27.Постанова КМУ від 28.10.2004 № 1452 «Порядок застосування електронного цифрового підпису органами місцевого самоврядування, підприємствами, установами та організаціями державної форми власності».

28.Постанова КМУ від 28.10.2004 № 1453 «Типовий порядок здійснення електронного документообігу в органах виконавчої влади».

29.Постанова КМУ від 28.10.2004 № 1454 «Порядок обов’язкової передачі документованої інформації».

30.ISO/IEC 9594-8:2005 (3d edition) Information technology – Open Systems Interconnection – The Directory: Authentication framework.

11. ДСТУ ISO/IEC 9594-8:2006 Інформаційні технології – Взаємодія відкритих систем – Каталог. Частина 8. Основні положення щодо

сертифікації відкритих ключів та атрибутів. Наказ Держспоживстандарту від 26.12.2006 № 372.

12. ДСТУ ISO/IEC 14888-3 Інформаційні технології. Методи захисту. Цифрові підписи з доповненням.

13. ДСТУ 4145-2002 Інформаційні технології. Криптографічний захист інформації. Цифровий підпис, що ґрунтується на еліптичних кривих. Формування та перевірка.

19.ГОСТ 34.10 Информационная технология. Криптографическая защита информации. Процессы формирования и проверки электронной цифровой подписи.

20.PKCS #1 RSA Cryptography.

21.ДСТУ ISO/IEC 10118 Інформаційні технології. Методи захисту. Геш-функції.

22.ГОСТ 34.11-94 Информационная технология. Криптографическая защита информации. Функция хэширования.

23.Правила посиленої сертифікації, затверджені наказом ДСТСЗІ СБ України від 13.01.2005 № 3 та зареєстровані в Міністерстві юстиції України за №104/10384 від 27.01.2005 та в редакції наказу Департаменту спеціальних телекомунікаційних систем і захисту інформації Служби безпеки України від 10.05.2006 № 50.

19.Положення про порядок розроблення, виробництва та експлуатації засобів криптографічного захисту конфіденційної та відкритої інформації з використанням електронного цифрового підпису. Затверджено наказом Адміністрації Державної служби спеціального зв’язку та захисту інформації України від 20.07.2007 № 862/141213.

5.1.2.Вимоги до системи ЕЦП України

Досвід технологічно розвинених держав свідчить, що основні завдання мають вирішуватись на ряді рівнів, перш за все на законодавчому,

загальносистемному, процедурно-функціональному, функціонально-технічному та програмно-технічному рівнях [5, 51, 63–73, 81–83, 146–157, 220–227]. Аналіз ряду джерел [6, 61–62, 74–80, 101–107, 128–131, 140–145] дозволив обґрунтувати та визначити сутність найбільш важливих вимог до системи ЕЦП України.

На законодавчому та нормативно-правовому рівнях важливим є врегулювання взаємовідносин замовників, розробників, постачальників,

довірчих сторін і користувачів, тобто сторін, що беруть участь у функціонуванні системи ЕЦП. Важливим завданням є підготовка,

перепідготовка та атестування обслуговуючого персоналу тощо.

1.Загальні вимоги до системи ЕЦП України

–На загальносистемному рівні важливо обґрунтувати та висунути вимоги щодо загальної архітектури ІВК, складу основних об’єктів і суб’єктів ІВК, їх взаємодії з урахуванням завдань, що розв’язуються на національному рівні,

рівні державних органів влади, міністерств і відомств, державних установ і закладів, державних і приватних підприємств, громадських організацій та об’єднань, окремих громадян тощо.

На процедурно-функціональному рівні повинні бути заданими:

-основні функціональні вимоги до системи сертифікації;

-загальні функціональні вимоги до системи ЕЦП;

-вимоги до генерування та розподілення ключів;

-вимоги до адміністраторів реєстрації та сертифікації;

-вимоги до довідника (реєстру) сертифікатів;

-вимоги до сертифікатів та до управління сертифікатами;

-вимоги до користувачів (власників) сертифікатів тощо.

На функціонально-технічному рівні повинні бути задані [5, 6, 14]:

-основні вимоги та функціональна структура ЦЗО, ЗЦ, АЦСК, ЦСК;

-вимоги безпеки ЦЗО, ЗЦ, АЦСК, ЦСК;

-вимоги доступності (надійності) з необхідним рівнем гарантій;

-основні вимоги до обслуговуючого персоналу;

-вимоги спостережливості та неспростовності тощо.

На програмно-технічному рівні повинні бути заданими:

-вимоги до операційних середовищ, апаратних та апаратно-програмних засобів;

-вимоги до криптографічних примітивів;

-вимоги до методів і засобів генерування ключів;

-вимоги до парольних систем;

-вимоги до ключової інформації тощо.

5.1.2. Вимоги до системи ЕЦП України

Основні вимоги до системи ЕЦП України наведені в «Правилах посиленої сертифікації», що розроблені на виконання постанови Кабінету Міністрів України від 13 липня 2004 року № 903 «Про затвердження Порядку акредитації центру сертифікації ключів» та визначають організаційні, технічні й технологічні вимоги до акредитованих центрів сертифікації ключів (АЦСК) під час обслуговування ними посилених сертифікатів відкритих ключів (далі – сертифікат) та забезпечення їх використання ( Накази СБУ № 3 -2005,

№ 50 – 2006).

Сертифікати, що сформовані відповідно до вимог політики сертифікації, повинні використовуватися для підтримки електронного цифрового підпису, який задовольняє вимогам щодо підпису, що застосовується до даних в електронній формі, у такий самий спосіб, як і власноручні підписи задовольняють вимогам щодо документа на папері.

Акредитований центр повинен зобов’язати заявника виконувати такі основні вимоги [6]: