Лекция 9. Безопасность бизнеса в Интернете

Безопасность в электронной торговле. Подход к безопасности в сети Интернет

 Обеспечить безопасность ИТ в настоящее время не представляется возможным без грамотного и качественного создания систем защиты информации. Это определило работы мирового сообщества по систематизации и упорядочиванию основных требований и характеристик таких систем в части безопасности информации. Одним из главных результатов подобной деятельности стала система международных и национальных стандартов безопасности информации, которая насчитывает более сотни различных документов. Общеизвестно, что стандартизация является основой всевозможных систем качества продукции и услуг.

Это особенно актуально для так называемых открытых систем коммерческого применения, обрабатывающих информацию ограниченного доступа, не содержащую государственную тайну, и стремительно развивающихся в нашей стране. Под открытыми системами понимают совокупности всевозможного вычислительного и телекоммуникационного оборудования разного производства, совместное функционирование которого, обеспечивается соответствием требованиям стандартов, прежде всего международных.

Такой подход связан с необходимостью увязать в единую систему большое разнообразие технических средств и программ, используемых в вычислительных системах или сетях. Термин "открытые" подразумевает также, что если вычислительная система соответствует стандартам, то она будет открыта для взаимосвязи с любой другой системой, которая соответствует тем же стандартам. Это, в частности, относится и к механизмам криптографической защиты информации или к защите от несанкционированного доступа (НСД) к информации.

В отличие от локальных сетей, Интернет основан на открытых стандартах, и фирмы используют его для продвижения продукции на мировой рынок.

Важная заслуга Интернета в том, что он заставил по-новому взглянуть на такие технологии. Во-первых, Интернет поощряет применение открытых стандартов, доступных для внедрения всем, кто проявит к ним интерес. Во-вторых, он представляет собой крупнейшую в мире, и вероятно, единственную, сеть, к которой подключается такое множество разных компьютеров. И наконец, Интернет становится общепринятым средством представления быстроменяющихся новой продукции и технологий на мировом рынке. Чтобы быть в курсе всех связанных с Интернетом новшеств, потребуется много времени и ресурсов, хотя и не больше чем для любой другой информационной технологии, например, связанной с архитектурой клиент-сервер или объектно-ориентированным программированием. Чтобы своевременно реагировать на эти изменения, целесообразно следить за действиями органов стандартизации и поддерживать адекватную гибкость структуры своей организации.

В Интернет уже давно существует целый ряд комитетов, в основном, из организаций - добровольцев, которые осторожно проводят предлагаемые технологии через процесс стандартизации. Эти комитеты, составляющие основную часть Рабочей группы инженеров Интернета (Internet Engineering Task Force, IETF) провели стандартизацию нескольких важных протоколов, ускоряя их внедрение в Интернете. Такие протоколы, как семейство TCP/IP для передачи данных, SMTP (Simple Mail Transport Protocol) и POP (Post Office Protocol) для электронной почты, а так же SNMP (Simple Network Management Protocol) для управления сетью - непосредственные результаты усилий IETF.

Другие органы стандартизации, такие как Международный союз по электросвязи (International Telecommunication Union, ITU), Американский национальный институт стандартов (American National Standards Institute, ANSI) и Институт инженеров по электронике и электромеханике (Institute of Electrical and Electronic Engineers, IEEE), тоже оказывают свое влияние на развитие Интернета, но IETF является единственным органом, изначально сформированным для этой цели.

Следует отдавать себе отчет, что эта роль не была возложена на IETF никаким правительством или международным сообществом, и по сравнению с такими органами стандартизации как ITU или ANSI, IETF, скорее, неформальная структура. Поэтому IETF публикует свои стандарты в форме рекомендаций и не может требовать от предпринимателей их внедрения. Но несмотря на то, что стандарты IETF необязательны для исполнения, за ними стоит сила рынка. И если предприниматель хочет выйти на огромный рынок, который формирует Интернет, ему необходимо позаботиться, чтобы его продукция могла работать совместно с другой, используемой в Интернете, а значит соответствовала необязательным стандартам IETF.

В последние несколько лет сетевой рынок стал свидетелем фрагментированного влияния на формирование стандартов. По мере того как Интернет ширился и обретал черты как потребительского, так и коммерческого рынка, некоторые фирмы стали искать пути влияния на стандартизацию, создав подобие конкурентной борьбы. Давление почувствовали даже неформальные органы стандартизации, такие как IETF. И по мере развития связанных с Интернетом рынков, предприниматели начали объединяться в специальные группы или консорциумы для внедрения своих собственных стандартов. В качестве примеров можно упомянуть OMG (Object Management Group), VRML (Virtual Reality Markup Language) Forum и Java Development Connection. Часто, ввиду значительного авторитета группы IETF, эти специальные группы (или отдельные компании) предлагают свои стандарты на ее рассмотрение. В случае положительного решения рекомендация IETF послужит дополнительным "знаком качества". Если стандарт утвержден IETF, можно быть уверенным, что он будет максимально открытым и принесет выгоду многим предпринимателям.

Одна из причин возникновения специальных групп по стандартизации - противоречие между постоянно возрастающими темпами развития технологий и длительным циклом рассмотрения стандартов. Некоторые производители считают, что органы стандартизации, такие как ITU, IEEE, и IETF тратят слишком много времени на подготовку и утверждение стандартов. IETF - самая "быстрая" из организаций, выпускающая свои стандарты на основе уже работающих реализаций. И это свидетельствует не только о высоких темпах развития новых технологий, но также о напряженности борьбы между компаниями за контроль над стандартами.

Быстрота разработки стандарта - понятие относительное. По мнению компании Netscape, Cisco и других IETF делает это быстрее, чем другие (например, ISO и ITU), но все равно недостаточно быстро. А чем больше времени уходит у органа стандартизации на разработку и публикацию стандарта, тем шире временное "окно" для желающих выдвинуть собственные стандарты. Порой и важные покупатели задают стандарты де-факто, самими своими покупками или заказами.

 Протоколы безопасной передачи данных.

В Интернет популярны протоколы безопасной передачи данных, а именно SSL, SET, IP v.6. Перечисленные протоколы появились в Интернет сравнительно недавно, как необходимость защиты ценной информации, и сразу стали стандартами де-факто. Напомним, что сеть Интернет создавалась несколько десятилетий назад для научного обмена информацией, не имеющей большой стоимости. Возвращаясь к конкретным техническим решениям, рассмотрим популярные в Интернет протоколы информационной безопасности.

Протокол SSL (secure socket layer) был разработан американской компанией Netscape Communications Corp. (http://home.netscape.com/eng/ssl3/index.html) как протокол, обеспечивающий защиту данных между сервисными протоколами (такими как HTTP, NNTP, FTP и т.д.) и транспортными протоколами (TCP/IP) с помощью современной криптографии.

Протокол SSL предназначен для решения традиционных задач обеспечения защиты информационного взаимодействия, которые в среде "клиент-сервер" интерпретируются следующим образом:

                    пользователь и сервер, подключаясь, должны быть взаимно уверены, что они обменивается информацией не с подставными абонентами, а именно с теми, которые нужны, не ограничиваясь паролевой защитой;

                    после установления соединения между сервером и клиентом весь информационный поток между ними должен быть защищен от несанкционированного доступа;

                    при обмене информацией стороны должны быть уверены в отсутствии случайных или умышленных искажений при ее передаче.

Протокол SSL позволяет серверу и клиенту перед началом информационного взаимодействия аутентифицировать или провести проверку подлинности друг друга ("server/client authentication"), согласовать алгоритм шифрования и сформировать общие криптографические ключи. С этой целью в протоколе используются двухключевые (асимметричные) криптосистемы, в частности, RSA.

Конфиденциальность информации, передаваемой по установленному защищенному соединению, обеспечивается путем шифрования потока данных на сформированном общем ключе с использованием симметричных криптографических алгоритмов (например, RC4_128, RC4_40, RC2_128, RC2_40, DES40 и др.). Контроль целостности передаваемых блоков данных производится за счет использования так называемых кодов аутентификации сообщений (Message Autentification Code - MAC), вычисляемых с помощью хэш-функций (в частности, MD5).

Последняя версия (SSLeay v. 0.8.0) поддерживает SSLv3. Данная версия доступна в исходных текстах. Этот пакет предназначен для создания и управления различного рода сертификатами. Так же в его состав входит и библиотека для поддержки SSL различными программами.

Протокол SSL принят W3 консорциумом (W3 Consortium) на рассмотрение, как основной защитный протокол для клиентов и серверов (WWW browsers and servers) в сети Интернет.

Наиболее распространенный зарубежный опыт решения вопросов управления криптографическими ключами электронного документооборота, основывается на использовании Public Key Infrastructure (PKI) - Инфраструктуры Открытых Ключей (ИОК), названной по названию используемого способа защиты электронных документов - криптография с открытыми ключами. Этим термином описывается полный комплекс программно-аппаратных средств, а также организационно- технических мероприятий, необходимых для использования технологии с открытыми ключами. Основным компонентом инфраструктуры является собственно система управления цифровыми ключами и сертификатами.

Эта инфраструктура подразумевает использование цифровых сертификатов, удовлетворяющих рекомендациям международного стандарта Х.509 ITU-T, и развернутую сеть центров сертификации, обеспечивающих выдачу и сопровождение цифровых сертификатов для всех участников электронного обмена документами. По своим функциям цифровые сертификаты аналогичны обычной печати, которой удостоверяют подпись на бумажных документах.

Цифровые сертификаты содержат открытые криптографические ключи абонентов, заверенные электронной цифровой подписью центра сертификации и обеспечивают однозначную аутентификацию участников обмена, а центры сертификации обеспечивают надежное распространение и сопровождение ключевой информации. Такие сертификаты представляют собой определенную последовательность битов, основанных на криптографии с открытым ключом. Цифровой сертификат представляет собой совокупность персональных данных владельца и открытого ключа его электронной подписи (а при необходимости, и шифрования), связанных в единое неизменяемое целое электронной подписью центра сертификации. Цифровой сертификат оформляется в виде файла или области памяти и может быть записан на дискету, интеллектуальную карту, элемент touch-memory, любой другой носитель данных.

Цифровые сертификаты предотвратят возможность подделок, от которых не застрахованы существующие виртуальные системы. Сертификаты держателя карты и продавца также дают уверенность в том, что их транзакции будут обработаны с тем же высоким уровнем защиты, что и транзакции, которые обрабатываются сегодня традиционными способами.

По такой схеме развертываются многие современные международные системы обмена информацией в открытых сетях. Примерами центров сертификации являются американские компании Verisign, GTE.

Наиболее перспективный протокол или стандарт безопасных электронных транзакций в сети Интернет - SET (Security electronics transaction), предназначенный для организации электронной торговли через сеть Интернет, также основан на использовании цифровых сертификатов по стандарту Х.509. В настоящее время в десятках стран мира уже насчитываются сотни государственных, ведомственных и корпоративных центров сертификации, обеспечивающих ключевое управление.

Протокол выполнения защищенных транзакций SET является стандартом, разработанным компаниями MasterCard и Visa при значительном участии IBM, GlobeSet и других партнеров. Он позволяет покупателям приобретать товары через Интернет, используя самый защищенный на настоящее время механизм выполнения платежей. SET является открытым стандартным многосторонним протоколом для проведения безопасных платежей с использованием пластиковых карточек в Интернет. SET обеспечивает кросс-аутентификацию счета держателя карты, продавца и банка продавца для проверки готовности оплаты, целостность и секретность сообщения, шифрование ценных и уязвимых данных. Поэтому SET более правильно можно назвать стандартной технологией или системой протоколов выполнения безопасных платежей с использованием пластиковых карт через Интернет.

SET позволяет потребителям и продавцам подтвердить подлинность всех участников сделки, происходящей в Интернет, с помощью криптографии, в том числе, применяя цифровые сертификаты.

Объем потенциальных продаж в области электронной коммерции ограничивается, достижением необходимого уровня безопасности информации, который обеспечивают вместе покупатели, продавцы и финансовые институты, обеспокоенные вопросами безопасности в Интернет. Как упоминалось ранее, базовыми задачами защиты информации являются обеспечение ее доступности, конфиденциальности, целостности и юридической значимости. SET, в отличии от других протоколов, позволяет решать указанные задачи защиты информации в целом.

SET, в частности, обеспечивает следующие специальные требования защиты операций электронной коммерции:

                    Секретность данных оплаты и конфиденциальность информации заказа, переданной наряду с данными об оплате;

                    Сохранение целостности данных платежей. Целостность информации платежей обеспечивается с помощью цифровой подписи;

                    Специальную криптографию с открытым ключом для проведения аутентификации;

                    Аутентификацию держателя по кредитной карточке. Она обеспечивается применением цифровой подписи и сертификатов держателя карт;

                    Аутентификацию продавца и его возможности принимать платежи по пластиковым карточкам с применением цифровой подписи и сертификатов продавца;

                    Аутентификацию того, что Банк продавца является действующей организацией, которая может принимать платежи по пластиковым карточкам через связь с процесинговой карточной системой. Аутентификация банка продавца обеспечивается использованием цифровой подписи и сертификатов Банка продавца;

                    Готовность оплаты транзакций в результате аутентификации сертификата с открытым ключом для всех сторон;

                    Безопасность передачи данных посредством преимущественного использования криптографии.

Основное преимущество SET над многими существующими системами обеспечения информационной безопасности заключается в использовании цифровых сертификатов (стандарт X509, версия 3), которые ассоциируют держателя карты, продавца и банк продавца с рядом банковских учреждений платежных систем Visa и Mastercard.

Кроме того, SET позволяет сохранить существующие отношения между банком, держателями карт и продавцами, и интегрируется с существующими системами.

Тематическая группа по технологии Интернет (Internet Engineering Task Force, IETF) в 1992 г. выступила с инициативой по разработке требований к протоколам семейства TCP/IP нового поколения. После обсуждения нескольких концепций, в начале 1995 года были опубликованы основные требования к архитектуре построения и указаны основные принципы функционирования средств обеспечения безопасности.

Протоколы TCP/IP нового поколения (IPv6) включают следующие новые черты: расширенное адресное пространство; улучшенные возможности маршрутизации; управление доставкой информации; средства обеспечения безопасности, использующие алгоритмы аутентификации и шифрования.

Спецификация IPsec, дополнительная по отношению к текущей версии протоколов TCP/IP и входящая в стандарт IPv6, разрабатывается Рабочей группой IP Security Тематической группы по технологии Интернет. В настоящее время IPsec включает 3 алгоритмо-независимых базовых спецификаций, опубликованных в качестве следующих RFC-документов.

Разработаный IETF протокол IPsec, предусматривает стандартный способ шифрования трафика на сетевом (третьем) уровне IP и обеспечивает защиту на основе сквозного шифрования. IPsec шифрует каждый проходящий по каналу пакет независимо от приложения. Это позволяет организации создавать в Интернет виртуальные частные сети. IPsec поддерживает DES, MD5 и ряд других криптографических алгоритмов. IPsec предназначен для работы поверх связных протоколов.

Преимущества обеспечения информационной безопасности на сетевом уровне с помощью IPsec включают:

                    поддержка немодифицированных конечных систем;

                    поддержка иных протоколов, чем ТСР;

                    поддержка виртуальных сетей в незащищенных сетях;

                    защита заголовка транспортного уровня от перехвата, т.е. более надежная защита от анализа трафика;

                    защита от атак типа "отказ в обслуживании".

IPsec имеет еще два важных преимущества - при его применении не требуется изменение промежуточных устройств в сети и рабочие места и серверы необязательно должны поддерживать IPsec.

IPsec - это система, использующая несколько различных методов для обеспечения комплексной информационной безопасности. Она использует:

                    обмен ключами через открытую сеть на основе криптографического алгоритма Диффи-Хеллмана;

                    применение цифровой подписи с использованием открытого ключа;

                    алгоритм шифрования, подобный DES, для шифрования передаваемых данных;

                    использование хэш-алгоритма для определения подлинности пакетов.

Протокол IPsec был разработан в рамках усилий по созданию средств защищенной передачи пакетов для IPv6, протокола IP следующего поколения сети Интернет - 2. Их спецификация продолжает совершенствоваться по мере выхода на рынок все новых и новых программных продуктов.

Стандарты в области безопасности

Следуя по пути интеграции, в 1990 году Международная организация по стандартизации (ИСО) начала создавать международные стандарты по критериям оценки безопасности информационных технологий для общего использования, названные "Common Criteria(CC)" или "Общие Критерии Оценки Безопасности Информационных Технологий (ОК)". В разработке Общих Критериев участвовали: Национальный институт стандартов и технологии и Агентство национальной безопасности (США), Учреждение безопасности коммуникаций (Канада), Агентство информационной безопасности (Германия), Агентство национальной безопасности коммуникаций (Голландия), Органы исполнения Программы безопасности и сертификации ИТ (Англия), Центр обеспечения безопасности систем (Франция), которые опирались на солидный задел.

Новые критерии адаптированы к потребностям взаимного признания результатов оценки безопасности ИТ в мировом масштабе и предназначены для использования в качестве основы для такой оценки. За десятилетие разработки лучшими специалистами мира ОК неоднократно редактировались. В результате был подготовлен Международный Стандарт ISO/IEC 15408. Текст документа ISO/IEC 15408 был опубликован как "Общие критерии оценки безопасности информационных технологий" (ОК) и в 1999 году утвержден. Ведущие мировые производители оборудования ИТ основательно подготовились к этому моменту и сразу стали поставлять заказчикам любые средства, полностью отвечающие требованиям ОК.

Подводя итог изложенному выше, следует отметить, что для защиты интересов субъектов информационных отношений необходимо сочетать меры следующих уровней:

                    законодательного;

                    административного;

                    процедурного;

                    программно-технического.

В современном мире нормативно-правовая база должна быть согласована с международной практикой. Назрела необходимость приведения российских стандартов и сертификационных нормативов в соответствие с международным уровнем ИТ вообще и по критериям оценки безопасности информационных технологий в частности. Приведем основные причины:

                    необходимость защищенного взаимодействия с зарубежными организациями и зарубежными филиалами российских организаций;

                    доминирование аппаратно-программных продуктов зарубежного производства.

Обеспечение безопасности ИТ невозможно без разработки соответствующих законодательных актов и нормативно-технических документов. Новые критерии оценки безопасности информационных технологий занимают среди них особое место. Только стандартизованные отечественные критерии позволяют проводить сравнительный анализ и сопоставимую оценку продуктов ИТ.