онацкий / onackiy (1)

31

В таблицах 1.12 и 1.13 представлены матрицы количественных и качественных оценок уровня защищенности, позволяющие наглядно оценить степень выполнения требований по защите информации. Это дает возможность сильные и слабые места в СЗИ (проанализировать и сделать выводы).

1.6ВЫВОДЫ

По результатам выполнения расчёта оценки качества СЗИ на основе матрицы безопасности можно сделать следующие выводы:

а) Лучший показатель этап 6 (внедрение и организация выбраных мер - 0,75)

32

б) Лучший показатель в блоке направления 2 (защита программ и процедур) основы 4 (средства - 0,24)

в) При анализе качественной оценки недостаточный уровень защиты мы получили для нескольких этапов - определение информации, подлежащей защите; выявления угроз и каналов утечки информации; проведение оценки уязвимости и рисков (1,2,3,4 - 0,17), но с учётом матрицы количественных оценок самый худший вариант защиты этапа 3 (проведение оценки уязвимости и рисков информации - 0,5)

г) При анализе направлений и основ защиты недостаточный уровень защиты получили для направления 2 (защита программ и процедур) в блоке показателей основ (база - 0,15) и направления 5 (управление СЗИ) в блоке показателей основ (база – 0,15)

33

ГЛАВА 2

2.1ЗАДАНИЕ

а) Привести и описать структуру банковской платежной системы. б) Описать методику проектирования оптимальной системы защиты. в) Рассчитать характеристики вариантов системы.

г) Определить допустимые варианты системы.

д) остроить графики в координатах защищенность – стоимость, защищенность – время, защищенность – удельная стоимость.

е) Провести анализ полученных результатов.

ж) Описать компонент реализации электронной цифровой подписи. з) Описать компонент реализации хэш-функции.

2.2СТРУКТУРА БАНКОВСКОЙ ПЛАТЕЖНОЙ СИСТЕМЫ

Электронной платежной системой называют совокупность методов и реализующих их субъектов, обеспечивающих в рамках системы использования банковских пластиковых карт как платежного средства. Пластиковая карта - это персонифицированный платежный инструмент, предоставляющий лицу, которое пользуется этой картой, возможность безналичной оплаты товаров и услуг, а также получения наличных средств в банковских автоматах и отделениях банков. Предприятия торговли и сервиса и отделения банков, принимающие карту как платежный инструмент, образуют сеть точек обслуживания карточки.

При создании платежной системы одной из основных решаемых задач является выработка и соблюдение общих правил изготовления карт, выпущенных входящими в платежную систему эмитентами, проведения взаиморасчетов и платежей. Эти правила охватывают как чисто технические аспекты операций с картами-стандарты данных, процедуры авторизации, спецификации на используемое оборудование и другие, так и финансовые

34

аспекты обслуживания карт-процедуры расчетов с предприятиями торговли и сервиса, входящие в состав приемной сети, правила взаиморасчетов между банками и т.д.

С организационной точки зрения ядром платежной системы является ассоциация банков, объединенная договорными обязательствами. Кроме того, в состав электронной платежной системы входят предприятия торговли и сервиса, образующие сеть точек обслуживания. Для успешного функционирования платежной системы необходимы и специализированные организации, осуществляющие техническую поддержку обслуживания карт: процессинговые и коммуникационные центры, центры технического обслуживания и т. п.

Банк, заключивший соглашение с платежной системой и получивший соответствующую лицензию, может выступать в двух качествах - как банкэмитент и как банк-эквайер. Банк-эмитент выпускает пластиковые карты и гарантирует выполнение финансовых обязательств, связанных с использованием этих карт как платежного средства. Банк-эквайер обслуживает предприятия торговли и сервиса, принимающие к оплате карты в качестве платежного средства, а также принимает эти платежные средства к обналичиванию в своих отделениях и через принадлежащие ему банкоматы. Основными неотъемлемыми функциями банка-эквайера являются финансовые операции, связанные с выполнением расчетор и платежей точками обслуживания. Технические атрибуты деятельности банка-эквайера (обработка запросов на авторизацию; перечисление на расчетные счета точек средств за товары и услуги, предоставляемые по картам, прием, сортировка и пересылка документов, фиксирующих совершение сделок с использованием карт и т.п.) могут быть делегированы эквайером процессинговых центров.

Клиенты платежной сети – это ее субъекты, счета – объекты, документы (платежные и иные) – команды и операции в сети, совершаемые субъектами над объектами. Стандартная банковская платежная система состоит из следующих компонентов: кассы обслуживания населения, банкомат (автоматизированное обслуживание), АРМ сотрудников банка, АРМ руководства банка. Необходимо оговориться, что банкомат способен только выдавать на-

35

личные денежные знаки, а касса и выдавать, и принимать.

2.3ВОПРОСЫ ОЦЕНКИ ЭФФЕКТИВНОСТИ И ПРОЕКТИРОВАНИЯ СИСТЕМ ЗАЩИТЫ

По способу реализации системы защиты от несанкционированного доступа (НСД) принято подразделять на встроенные и добавочные. Под встроенными понимаются средства защиты, которые встроенные функционально в программное обеспечение (ПО) и являются его частью. Эти средства реализуют дополнительную для данного ПО функцию обеспечения защиты информации (ЗИ). Добавочные средства защиты используются совместно сПО и обеспечивают усиление защитных свойств.

К системе защиты предъявляется следующий список требований:

а) уровень канала доступа: шифрование, аутентификация, электронная цифровая подпись (ЭЦП), аудит;

б) разграничение доступа: шифрование, ЭЦП; в) операционная среда: ЭЦП (хэш-функция), аудит.

Требования к клиентской части реализуемой системы защиты: а) хранение ключей, прав доступа и других атрибутов; б) средства генерации ЭЦП; в) модуль шифрования;

г) журнал регистрации событий.

Необходимо выбрать механизмы защиты, реализующие следующие технологии информационной безопасности:

а) хэш-функция; б) симметричное и асимметричное шифрование;

в) электронная подпись; г) механизмы аутентификации и аудита;

д) средства генерации ключей и случайных последовательностей. Цифровую электронную подпись можно реализовать следующими способами:

а) RSA;

36

б) DSA;

в) ГОСТ 34.10-2001; г) Эль-Гамаля;

д) ECDSA;

е) ДСТУ 4145–2002.

Возможна реализация аппаратным способом и программным. Каждый вариант реализации можно характеризовать по некоторому набору параметров.

Вданном случае важны следующие параметры: а) обеспечиваемый уровень защищенности; б) стоимость реализации;

в) среднее время, затрачиваемое на одну транзакцию;

г) удельная стоимость совершения одной транзакции.

Список в зависимости от конкретной задачи может быть расширен. Понятие защищенности – качественное, поэтому может быть оценено (переведено в числовое значение) при помощи различных методов экспертной неформальной оценки или ранжирования. Таким образом, уровень защищенности может трактоваться как количественная оценка криптостойкости или сложности вскрытия некоторого средства защиты по сравнению с остальными.

Отдельно проектировщиком может выноситься свойство надежности, иногда его можно рассматривать совместно с уровнем защищенности. Под транзакцией понимается операция, совершаемая устройством, рассматривается средний объем данных, обрабатываемых системой в течение одной операции. При оценке анализируется показатели, с которыми разные средства реализации осуществляют обработку одинаковых объемов данных.

Краткие обозначения:

Z – уровень защищенности;

С – стоимость разработки и внедрения; Т – среднее время, затрачиваемое на транзакцию;

Ц – удельная стоимость совершения одной операции.

38

Рисунок 2.1 — Критерии оценки защищённости

Таблица 2.1 — Набор механизмов реализации ЭЦП

39

Таблица 2.2 — Набор механизмов реализации хэш-функции

Система должна удовлетворять следующим ограничениями:

Будем применять методику комплексного учета всех параметров механизмов по каждому из требований. Каждый вариант из одного списка сочетается по одному разу с вариантом из другого списка, всего возможно 54 варианта построения системы защиты табл.2.3, табл.2.4.

Таблица 2.3 — Характеристика вариантов системы

40

Таблица 2.4 — Допустимые варианты системы.

На рис.2.2, 2.3 и 2.4 приведены все варианты проектов в координатах «защищенность – стоимость», «защищенность – время», «защищенность – удельная стоимость». На графиках точками отображены варианты проекта. Сплошной линией изображено множество Парето на каждом из графиков. Множество Парето – множество допустимых альтернатив задачи многокритериальной оптимизации (принцип отбора рациональных решений). На рисунках надписаны варианты решений, входящие в область компромиссов и удовлетворяющие заданным в примере ограничениям.