Технології захисту інформації - копия

МІНІСТЕРСТВО ОСВІТИ І НАУКИ УКРАЇНИ

ХАРКІВСЬКИЙ НАЦІОНАЛЬНИЙ ЕКОНОМІЧНИЙ УНІВЕРСИТЕТ

Остапов С. Е. Євсеєв С. П. Король О. Г.

ТЕХНОЛОГІЇ ЗАХИСТУ ІНФОРМАЦІЇ

Навчальний посібник

Харків. Вид. ХНЕУ, 2013

1

УДК 004.056.5(076.5)

ББК 32.973я73 О-76

Рецензенти: докт. техн. наук, професор, зав. кафедри захисту інформації Національного університету "Львівська політехніка" Дудикевич В. Б.; докт. техн. наук, професор, зав. кафедри системного програмування Хмельницького національного університету Поморова О. В.; докт. техн. наук, проректор з наукової роботи та міжнародних зв’язків ПВНЗ "Буковинський університет" Виклюк Я. І.

Рекомендовано до видання рішенням вченої ради Харківського національного економічного університету.

Протокол № 6 від 21.01.2013 р.

Авторський колектив: докт. фіз.-мат. наук, професор Остапов С. Е. – вступ, розділи 1 – 3, 8, 9; канд. техн. наук, ст. наук. співробітник Євсеєв С. П. – розділи 4, 5, 7, 10; викладач Король О. Г. – розділи 6, 11 – 13.

Остапов С. Е.

О-76 Технології захисту інформації : навчальний посібник / С. Е. Остапов, С. П. Євсеєв, О. Г. Король. – Х. : Вид. ХНЕУ, 2013. – 476 с. (Укр. мов.)

Розглянуто основи сучасного захисту інформації в комп’ютерних системах, не пов’язаних із державною таємницею. Викладено основні поняття та визначення захисту інформації, формування політики безпеки, критерії оцінки захищеності комп’ютерних систем, основи криптографічного захисту інформації, захисту інформації від несанкціонованого доступу в сучасних операційних системах, а також описано комплексні системи захисту в корпоративних інформаційних системах.

Рекомендовано для студентів, які навчаються за напрямами "Комп’ютерна інженерія", "Програмна інженерія", "Інформатика" та "Комп’ютерні науки" всіх форм навчання, для студентів інших спеціальностей, де вивчається цикл навчальних дисциплін із захисту інформації, а також для самостійного опанування його основ.

2

Вступ

Захист інформації перетворюється сьогодні на одну з найактуальніших задач внаслідок надзвичайно широкого розповсюдження як власне різноманітних систем обробки інформації, так і розширення локальних та глобальних комп’ютерних мереж, якими передаються величезні об’єми інформації державного, військового, комерційного, приватного характеру, власники якої часто були б категорично проти ознайомлення з нею сторонніх осіб. Проблема набуває особливої гостроти після прийняття урядом України закону про захист персональних даних, який зобов’язує зберігати та передавати персональні дані працівників лише у захищеному вигляді в інформаційних системах (ІС).

Не менш важливим завданням вважається широке впровадження інформаційних технологій у різні сфери людської діяльності в Україні: стрімке зростання обігу пластикових карток, майбутнє введення електронних паспортів та медичних карт, студентських квитків та залікових книжок; зрештою все більше державних установ та приватних підприємств переходять на електронний документообіг, який до того ж, вимагає юридичної чинності підпису фізичної або юридичної особи. Розповсюдження таких технологій також, безперечно, вимагає добре поставленого захисту інформації.

Усі ці та багато інших задач покликані вирішувати різноманітні технології захисту інформації. Навчальний посібник, що пропонується читачеві, містить систематичний опис основ захисту інформації. Він складається із вступу та тринадцяти розділів.

Перший розділ присвячено основним поняттям та визначенням захисту інформації. Тут розглянуто властивості інформації, визначено захист інформації як галузь людської діяльності та його основні завдання, подано класифікацію основних загроз для інформації та їх джерел.

У другому розділі розглядаються основні поняття політики інформаційної безпеки, аналізуються моделі загроз і модель порушника, розглянуто методику оцінки ризиків підприємства.

Розділи 3 – 9 містять основи криптографічного захисту інформації, де розглядається симетрична та асиметрична криптографія, гешувальні алгоритми та електронний цифровий підпис, елементи криптоаналізу та основні напрями розвитку сучасної криптографії.

3

Урозділах 10 – 12 описані механізми та протоколи керування криптографічними ключами, методи та пристрої забезпечення безпеки,

атакож моделі захисту та використання механізмів контролю доступу.

У13 розділі визначені основні процедури, які пов’язані з використанням паролів і механізмів контролю за доступом у різних середовищах.

Вивчення навчальних дисциплін циклу захисту інформації дозволить студентам, які навчаються за напрямами "Комп’ютерна інженерія", "Програмна інженерія", "Інформатика" та "Комп’ютерні науки" всіх форм навчання оволодіти знаннями та вміннями, які створять теоретичне та практичне підґрунтя для отримання компетентностей щодо проведення аналізу загроз, які виникають при зберіганні, обробці та передаванні інформації; побудови систем захисту з використанням методів традиційної криптографії; демонстрації здатності критично вивчати, аналізувати і оцінювати з різних точок зору: технології, методи та процедури для проектних робіт, пов’язаних з розробленням профілю безпеки, надання порівняльної характеристики різних варіантів застосування механізмів і протоколів захисту інформації в інформаційних системах, забезпечення обґрунтованого підбору програмно-апаратних і програмних засобів для забезпечення необхідного рівня захисту інформації, проведення аналізу ефективності прийнятих технічних рішень щодо забезпечення захисту інформації в ІС.

Навчальний посібник узагальнює окремі методичні розробки з навчальних дисциплін "Захист інформації в інформаційних системах", "Технології захисту інформації", "Безпека програм та даних" і містить систематизований навчальний матеріал у галузі інформаційної безпеки для вивчення теоретичного матеріалу та набуття практичних навичок як самостійно, так і під керівництвом викладача.

Навчальний посібник призначено для студентів, які навчаються у вищих навчальних закладах за напрямами підготовки: 6.050101 – "комп’ютерні науки" (спеціалізацій "Інформаційні управляючі системи та технології" та "Комп’ютерний еколого-економічний моніторинг"); 6.050102 – "Комп’ютерна інженерія"; 6.050103 – "Програмна інженерія" та 6.040302 – "Інформатика".

4

Розділ 1. Огляд безпеки системи

1.1.Основні поняття

Уже давно інформація стала загальнолюдським поняттям, однак до цього часу не існує загальнонаукового визначення цього терміна. З точки зору різних галузей науки, це поняття визначається різними специфічними ознаками. Електронна енциклопедія "Вікіпедія", наприклад, дає таке визначення інформації [37; 38]: інформація – це відомості про щось незалежно від форми їх подання. Сучасна наука розглядає два типи інформації: об’єктивна – властивості матеріальних об’єктів та явищ, які передаються іншим об’єктам та відображаються в їх структурі; та суб’єктивна, яка відображає зміст об’єктивної інформації, сформована свідомістю людини за допомогою слів, образів і відчуттів та зафіксована на будь-якому матеріальному носієві. У побутовому розумінні інформація – це відомості про оточуючий світ та процеси, що в ньому відбуваються, які сприймаються людиною або спеціальним пристроєм.

До захисту інформації найближчими, на наш погляд, є такі означення інформації.

За Клодом Шенноном [47]: інформація – це відомості, за допомогою яких усувається невизначеність, що існувала у споживача до їх отримання.

За Глушковим В. М. [4]: інформація – міра неоднорідності розподілу матерії та енергії у просторі та часі, міра змін, якими супроводжуються всі процеси, що протікають у світі.

Згідно з визначенням, яке надає ЮНЕСКО, інформація – універсальна субстанція, що пронизує усі сфери людської діяльності, слугує провідником знань та думок, інструментом спілкування, взаєморозуміння та співробітництва, утвердження стереотипів мислення та поведінки.

Згідно з Законом України "Про інформацію", інформація – це документовані або публічно оголошені відомості про події та явища, що відбуваються у суспільстві, державі та навколишньому природному середовищі [39].

Інформація має певні властивості. Наприклад, з практичної точки зору, вони визначаються таким чином:

цінність інформації визначається можливістю забезпечення досягнення мети, поставленої її отримувачем;

достовірність – відповідність отриманої інформації реальності навколишнього світу;

актуальність – відповідність цінності та достовірності отриманої інформації поточному часу.

5

Визначаються також інші властивості інформації, з інших точок зору, наприклад, часові властивості тощо.

З точки зору захисту інформації нас цікавлять такі її властивості, які підлягають захисту. До них відноситься [12]:

конфіденційність – властивість інформації бути захищеною від несанкціонованого ознайомлення;

цілісність – властивість інформації бути захищеною від несанкціонованої зміни або знищення;

доступність – властивість інформації бути захищеною від несанкціонованого блокування.

Іноді ще визначають таку властивість інформації, як спостережність – властивість весь час (на усіх етапах обробки та передавання) знаходитись під контролем системи захисту.

1.2. Захист інформації та його основні завдання

Зрозуміло, що усю перелічену інформацію треба захищати. Принципи захисту повинні бути різними залежно від того, який тип інформації необхідно захищати. Якщо інформація, що підлягає захисту, належить до одного з класифікованих ступенів секретності, то основні зусилля системи захисту повинні бути зосереджені на захисті конфіденційності. Чи треба захищати відкриту інформацію, і якщо треба, то від яких загроз? Для того, щоб відповісти на це питання, розглянемо два приклади.

Кілька років тому хакери влаштували колективну атаку на ресурси компанії Microsoft, яка полягала в тому, що на її сервери одночасно було направлено стільки запитів, що вони перевищили можливості серверів та пропускну спроможність каналів зв’язку. Зрозуміло, що на цей період легальні користувачі були позбавлені сервісів Microsoft (до речі, від аналогічної атаки постраждала й Sun), оскільки їх запити на обслуговування не виконувалися. Така атака називається "відмовою в обслуговуванні". Вона направлена на блокування Інтернет-сервісів для легальних споживачів відкритої інформації. Отже, стає зрозумілим, що і відкриту інформацію також треба захищати, насамперед, від несанкціонованого блокування, а значить, захищати доступність такої інформації.

У кінці 80-х – на початку 90-х років ХХ сторіччя банківські документи, зокрема платіжні вимоги про зарахування грошей на банківський рахунок (авізо), курсували телеграфними мережами у відкри-

6

тому вигляді. Цей факт сприяв виникненню цілого бізнесу фальшивих авізо, причому, зараховуючи гроші на вказаний розрахунковий рахунок, працівники банків самі не знали, фальшиві авізо вони обслуговують, чи законні. Для протидії таким атакам Центробанк розробив систему шифрування банківських документів на базі мікрокалькулятора "Електроніка МК-85", який генерував так званий код підтвердження достовірності і, таким чином, захищав документи від змін, іншими словами, захищав цілісність документів [8].

Отже, як видно з наведених прикладів, відкриту інформацію також треба захищати, причому захищати її цілісність і доступність.

Діяльність, спрямована на забезпечення захисту конфіденційності, цілісності та доступності важливої для держави, суспільства та особи інформації, в тому числі відкритої, охорона якої передбачається законом, називається захистом інформації [12].

Тепер спробуємо визначити, в яких системах повинен здійснюватися захист інформації [28; 30]. Сьогодні спеціалісти використовують багато понять для визначення захисту інформації в системах обробки та передавання інформації. Це і захист інформації в комп’ютерних системах, і захист інформації в автоматизованих системах, і захист інформації в інформаційно-телекомунікаційних мережах тощо. Причому вважається, що усі ці поняття є синонімами. Насправді це не зовсім так. Слід зазначити [28; 30], що за останні роки ці терміни зазнали певної еволюції. Зараз в Україні загальноприйнятим є поняття захисту інфор-

мації в інформаційно-телекомунікаційних системах, його найбільше використовують у законодавчих та нормативних документах [12].

Розглянемо детальніше, що необхідно будемо розуміти під визначенням тієї чи іншої інформаційної системи [28; 30].

1.Інформаційно-телекомунікаційною системою називають орга-

нізаційно-технічну систему, що реалізує певну сукупність технологій обробки та передавання даних шляхом їх кодування у формі фізичних сигналів.

2.Комп’ютерна система, згідно з визначенням НД ТЗІ 1.1- 003099 [28], – це сукупність програмно-апаратних засобів, яку подають на оцінювання. Під оцінюванням розуміють експертне оцінювання захищеності інформації в цих програмно-апаратних засобах. Таке оцінювання

єскладовою частиною експертизи на відповідність чинним нормативним документам та стандартам.

7

3.Під обчислювальною системою розуміють сукупність прог- рамно-апаратних засобів, призначених для обробки інформації. Обчислювальна система поєднує технічні засоби обробки та передавання інформації, а також методи і алгоритми обробки даних, реалізовані у вигляді відповідного програмного забезпечення.

4.Автоматизована система – це організаційно-технічна система, що реалізує інформаційну технологію та поєднує в собі: обчислювальну систему, фізичне середовище, персонал та інформацію, що обробляється. Зі структурою автоматизованої системи можна детальніше ознайомитися в [28].

В Україні, згідно з нормативними документами ДСТСЗІ СБУ (Депар-

тамент спеціальних телекомунікаційних систем та захисту інформації Служби Безпеки України), НД ТЗІ 2.5-005-99, зараз існує така кла-

сифікація автоматизованих систем (АС) [29]:

АС-1 – одномашинний однокористувацький комплекс, який обробляє інформацію однієї або кількох категорій конфіденційності. Приклад –

автономний (ізольований) персональний комп’ютер, доступ до якого здійснюється з використанням організаційних засобів безпеки.

АС-2 – локалізований багатомашинний багатокористувацький комплекс, який обробляє інформацію різних категорій конфіденційності. Приклад – локальна обчислювальна мережа. Істотна відмінність від попередньої категорії – наявність категорій користувачів з різними повноваженнями доступу та наявність апаратного забезпечення, яке може одночасно обробляти інформацію різних категорій конфіденційності.

АС-3 – розподілений багатомашинний багатокористувацький комплекс, який обробляє інформацію різних категорій конфіденційності. Приклад – глобальна мережа. Істотна відмінність від попередньої категорії – необхідність передавання інформації через незахищене середовище. У навчальному посібнику надалі будуть використані саме ці поняття та означення.

1.2.1. Класифікація загроз для інформації та їх джерел

"Концепція технічного захисту інформації в Україні" [55] визначає такі джерела загроз для інформації:

інші держави; політичні партії;

8

злочинні угрупування; суб’єкти підприємницької діяльності; окремі фізичні особи;

навмисні та ненавмисні дії персоналу; стихійні лиха та техногенні катастрофи.

Мотивація цих джерел може бути зовсім різною: від повної її відсутності у стихійних лих до економічних та політичних переваг (табл. 1.1).

9

У теорії захисту інформації доведено [55], що якщо система захисту побудована з урахуванням усіх сучасних методів та засобів захисту, тобто повністю реалізований п. 3 табл. 1.2, а підприємство має ретельно підібраний та навчений персонал, який не допускає помилок, тобто повністю реалізовано п. 4 табл. 1.2, то навмисні дії порушників у такій системі неможливі.

Однак насправді це не зовсім правильно. З часом система захисту застаріває, персонал змінюється та втрачає пильність, зловмисники знаходять нові способи атак та методи подолання захисту, невідомі на час розробки системи захисту. Тому маючи обґрунтовані надії на стійкість системи захисту інформації, краще, все ж таки, пам’ятати основне правило захисту інформації: жодна система захисту не може довгий

час протистояти цілеспрямованим діям озброєного сучасними технологіями кваліфікованого порушника.

Це правило вироблено роками досвіду спеціалістів захисту інформації і має універсальний характер. Воно не залежить від рівня системи захисту, сумлінності користувачів та адміністраторів, апаратного та програмного забезпечення. Воно стверджує, що проблема полягає не в тому, чи подолають зловмисники систему захисту, а в тому, коли це відбудеться. І завдання захисту інформації полягає в тому, щоб злам системи відбувся якомога пізніше. Про це говорить і мета захисту інформації, визначена в "Концепції технічного захисту інформації" [55]: "метою захисту інформації є унеможливлення або суттєве утруд-

нення реалізації загроз для інформації, що є власністю держави, сприяння реалізації законних інтересів громадян, юридичних осіб, державних органів здійсненню ними своїх завдань і функцій, загроз, реалізація яких може нанести державі, суспільству або особі політичні, економічні, моральні та інші збитки".

10