Информационна сигурност

Информационна сигурност

Същност и аспекти на информационната сигурност

1 Същност и аспекти на информационната сигурност

Информационната сигурност има за цел да осигури функционирането на информационните системи, а не да ги блокира, спре или ограничи тяхното използване. Посредством нея, информационните системи получават по-висока степен на функциониране, по-висока надеждност на работа и осигуряват нужната конфиденциалност на съхраняваната и предавана информация. Сигурността не е чисто технически проблем – това е съвкупност от технически и бизнес проблеми. Същевременно решенията каква информационна сигурност да се приеме в дадена организация / фирма и какви да са нейните технически решения за сигурност, е чисто бизнес въпрос (не всяка информационна система се нуждае от ниво на информационна сигурност като на високозащитени военни системи). Информационните и комуникационни технологии (ИКТ) подпомагат конкретните решения на информационната сигурност, но тези решения могат да варират в много широк диапазон. В зависимост от диапазона е и цената на самото техническо решение. Бизнес управлението на една институция трябва да избере баланса между финансовата загуба, която тя би понесла, ако дадена функция на информационната сигурност липсва и настъпи злонамерена повреда в работата на информационната й система, и цената на ИКТ решението за да се въведе съответната функция на информационната сигурност и да предпази институцията от подобно нежелано и зловредно действие. По такъв начин решението за нивото на информационната сигурност на информационната система на една институция отговаря на приетия бизнес риск от нейното ръководство.

След като бизнес ръководството на една институция приеме какво ниво на сигурност отговаря на стратегическото и финансово ниво на институцията, от съответно ИКТ решение за информационна сигурност трябва да се осигури очакваната сигурност. По принцип създаването на информационната сигурност на една институция се извършва на няколко йерархически нива. Бизнес контекстът на информационната сигурност се определя от стратегията за сигурност (създадена от ръководството на институцията и приета от неговия борд) и от последващите я от нея полиси за сигурност, организирани йерархически, и представляващи на по-ниско ниво ръководство за приоритети и концепции на информационната сигурност на институцията (създадени от шефа на информационната сигурност на институцията – Chief Security Officer). На следващото ниво се дефинират ИКТ решенията, техническите процедури и практиките, които осъществяват изисквания на полисите, както и изискванията и начините за тяхното изпълнение (създадени от експертите по информационна сигурност). По този начин информационната сигурност осъществява защита на информационната система от нерегламентиран достъп, използване, разкриване на информация, промяна, унищожаване и прекратяване на предоставяните от нея услуги.

Независимо че човечеството се занимава от времето на египетската цивилизация с въпросите на информационната сигурност, през последните години се оформиха 3 основни функции на нейната дейност – конфиденциалност (данните са в нечетима форма освен за този, за когото са предназначени), интегрираност (данните се предават в непроменена форма и съдържание), и възможност за доставяне на услуги (услугите по информационна сигурност са достъпни когато потребител се нуждае от тях).

Всяка организация (предприятие, структура от публичната администрация и дори част от домашните потребители) притежава и използва определени информационни ресурси – документи, съобщения в електронната поща, данни в корпоративната система за управление на бизнеса и др. Тези ресурси представляват значителна ценност за организацията и в съществена степен определят дали тя ще е в състояние да осъществява основната си дейност и да постига своите цели. Значимостта на тези ресурси определя вниманието, което се отделя на информационната сигурност (information security), разглеждана от гледна точка на безопасността на съхраняваната, предавана и обработвана информация. Този интерес е свързан както с това, че данните са исторически първият ресурс, чиято сигурност е била нарушавана, така и с обстоятелството, че намиращата се в електронен вид информация, обработвана с компютри, свързани в мрежи, е значително по-уязвима от тази, отпечатана върху хартия и заключена в шкаф. За потенциалните нарушители не е необходимо да влязат в съответния офис, за да я откраднат или фалшифицират. Възможно е дори атакуващите да не се намират в същия град и държава, когато използват по непозволен начин значими за организацията данни.

Традиционно сигурността на информацията се дефинира като степен на запазване на нейнатаповерителност, достоверност и достъпност.

Когато определена информация се чете, копира или разпространява от някой, който не е упълномощен за това, резултатът е нарушаване на нейната поверителност (confidentiality, privacy). Загубата на конфиденциалност е особено сериозен проблем, когато се касае, например, за факти и обстоятелства, свързани с проектирани нови продукти, инвестиционни проекти, научни и военни изследвания, законово защитени лични и корпоративни данни и т.н.

Когато информацията се променя по нерегламентиран начин, резултатът е нарушаване на нейнатадостоверност (integrity). Причина за това може да бъде както несъзнателна човешка грешка, така и целенасочена фалшификация. Достоверността е от особено значение за данни, свързани с националната сигурност, електронната търговия и разплащания и др.

Когато по нерегламентиран начин информацията бъде изтрита или стане неизползваема, резултатът е нарушаване на нейната достъпност (availability). Като следствие от това потребители, които притежават правомощия да я използват, не могат да се възползват от тях. Достъпността на информацията е от особено значение, например, за дистрибуторски компании и други структури, предоставящи услуги на широк кръг потребители.

В процеса на използване на компютри в човешката дейност съществуват множество събития и действия, които представляват потенциални заплахи за информационната сигурност – нарушават конфиденциалността на данни, изкривяват тяхната достоверност, ограничават достъпността им или отнемат други значими техни качества. Типичен пример за заплаха за информационната сигурност са компютърните вируси, които са в състояние да унищожат информация, събирана в течение на години в определена компютърна система или мрежа, и дори да предизвикат прекратяване на функционирането на организацията.

Под заплаха (threat) за информационната сигурност се разбират природни фактори или човешки действия, които потенциално могат да причинят нейното нарушаване и да доведат до загуба на конкурентни предимства, до нарушаване или прекратяване на осъществяваната дейност или до други щети за организацията. Заплахите за информационната сигурност могат да се обособят в три основнигрупи:

• ·природни бедствия – земетресения, урагани, наводнения, гръмотевици, пожари и други природни явления, които могат да причинят физически дефекти в компютърните системи и да предизвикат разрушаване на данни, загуба на работоспособност или пълно унищожаване на компютри и техни устройства, невъзможност за предоставяне на важни услуги на клиентите и т.н. В тази група се включват и рисковете от терористични атаки, които възникват с идентична степен на неизбежност както природните бедствия;
• ·неумишлени човешки грешки – в много изследвания се посочва, че основна заплаха за достоверността на данните са легитимните оторизирани потребители, на които не достига компетентност по отношение на извършваните от тях действия. Техните грешки и пропуски могат да доведат до загуба, промяна или разрушаване на значима за организацията информация. Потребителите, предизвикващи нарушения чрез неумишлени грешки в ежедневната си работа, нямат конкретни мотиви или цели при тяхното извършване. В тази група попадат и заплахите за сигурността, които се дължат на неумишлените грешки, съдържащи се в системния софтуер и инсталираните приложни програми;
• ·умишлени човешки действия – в тази група попадат заплахите от съзнателни вредителски действия на служители на организацията (настоящи или бивши) или на външни за нея лица, които целенасочено искат да и нанесат щети. Особено висока е опасността от подобни действия на недоволни служители на организацията, тъй като те са оторизирани потребители на нейната информационна система, притежават някакви легитимни права за достъп и познават в определена степен както изградената система за защита на сигурността, така и най-критичните за организацията ресурси. Те са в състояние да навигират във файловата система и да унищожат, например, тези от файловете, чието разрушаване би причинило максимални щети на организацията, или да разпространят тази част от данните, която представлява най-съществен интерес за конкурентите. В случаите, когато възникват подобни събития, може да се говори за саботаж на информационната сигурност.

Външните нападатели нямат непосредствен физически контакт с информационната система на организацията, което предполага използване на някакви агенти за проникване в нея преди извършване на вредителските действия. В такова качество могат да се прояват връзката с глобалната мрежа и нейните услуги, поведението на служители на организацията, разпространението на вредителски код и т.н.

Потенциалните заплахи за информационната сигурност се превръщат в реални нарушения и инциденти като се възползват от съществуващи слабости (уязвимости, vulnerabilities) в системата за нейната защита или в практиката на функциониране на информационните системи. Като примери за такива слабости могат да се посочат отсъствието или неспазването на политиката за регулярно архивиране на съхранените данни върху външни носители, което гарантира тяхното възстановяване при възникване на физически дефекти в компютърните системи, подценяването или отсъствието на програми за постоянно обучение на потребителите, което намалява вероятността от допускане на грешки при използване на данните, спестяването или неправилното конфигуриране на технологии за защита на информационната сигурност, които я правят уязвима от несанкциониран достъп или проникване на вредителски код.

Когато възникнат събития или се осъществят действия, които потенциално или реално водят до загуба на желаното състояние на сигурността за някои от ресурсите, казваме, че е възникнало нарушение на информационната сигурност. Нарушението може да се дължи на случайни фактори (например, възникване на технически дефекти в компютърните системи), на несъзнателни човешки грешки (случайно изтриване на данни или нарушаване на вътрешната организация на файлове, съхраняващи структурирана информация) или на съзнателни действия на нарушители, които извършват целенасочени посегателства срещу определени информационни ресурси. Умишлено предизвиканите нарушения на сигурността се определят като инциденти, а действията, довели до тях – като атакасрещу информационната сигурност. Инциденти могат да предизвикват както служители на самата организация, така и външни за нея лица, определяни още като нападатели (attackers, hackers, crackers, intruders).

Нападателите (вътрешни и външни) предприемат умишлени вредителски действия срещу информационната сигурност с определени цели. Независимо от огромното им разнообразие, те могат да се обобщят в три основни групи: разрушаване на данни, кражба на ресурси и извършване на измами и затрудняване на осъществяваната в организацията дейност. Движещи мотиви за някои от тях е желанието чрез затруднения достъп до определени данни и услуги или чрез нарушенията в нормалното осъществяване на ежедневните дейности в организацията да се отмъсти (да се получи реванш) за отношението на работодателите, което те считат за некоректно. В други случаи целта на нарушенията е кражба на компютърно време, информация, мрежов трафик или други ресурси, които могат след това да бъдат продадени или възмездно предоставени за ползване на трети лица. Много често чрез нарушенията на информационната сигурност се осъществяват различни измами (източване на кредитни карти, фалшифициране на системи за контрол на работното време или на проведените телефонни разговори, манипулиране на системи за оценяване на знанията и др.). Нерядко мотив за нарушаване на сигурността е желанието за доказване на личните способности и квалификация, търсенето на забавления и шеги, както и стремежът да се създаде и непрекъснато да се поддържа пазарно търсене на инструменти за нейната защита.

Когато нарушения или инциденти нанесат реални поражения върху информационната сигурност на някой от ресурсите, казваме, че тя е компрометирана до отстраняване на последиците от нарушението или инцидента. В много случаи компрометирането на една система може да се използва от нарушителите за осъществяване на атаки срещу информационната сигурност на други организации, при което реалният източник на атаката и неговото истинско местоположение остават скрити. Поради тези причини обект на атаки срещу информационната сигурност могат да бъдат и компютърни системи за домашно ползване, такива, намиращи се в училища, университети или в офиси на малки фирми, където обикновено не се съхранява информация с особена ценност.

За постигане и запазване на желаното състояние на информационната сигурност в конкретна организация се използва съвкупност от методи, технологии и инструменти, които се прилагат от персонала на организацията в рамките на регламентирани процедури. Тази съвкупност от организационни и технологични решения се определя като система за защита на информационната сигурност. Нейното изграждане се предшества от проучване на използваните в организацията информационни ресурси и определяне на тяхната ценност и значимост за нормалното функциониране. В хода на извършвания анализ се установява и кои са най-съществените потенциални заплахи за защитаваните ресурси с най-значителна ценност и чрез кои слабости може да се наруши тяхната сигурност. Според получените резултати се вземат решения за това по какъв начин ще се противодейства на дефинираните потенциални заплахи и как ще се отстранят някои от установените слабости, така че рискът от осъществяване на заплахите и нарушаване на сигурността да се редуцира до приемливо ниво, съответстващо на ценността на информационните ресурси за организацията. Много често защитата на информационната сигурност се ограничава до такова ниво, при което по-нататъшните разходи за технологии и персонал биха надвишили потенциалните щети при загуба на защитаваните информационни ресурси.

Защитата на информационната сигурност се реализира чрез използване на разнообразни технологии като антивирусен софтуер, защитни стени и средства за криптиране и декриптиране, формулиране на адекватни политики за тяхното конфигуриране и прилагане и обучение на потребителите за изискванията и правилата на поведение, които са задължителни за постигане на сигурна среда.

Средствата за защита на информационната сигурност осъществяват няколко основни функции:

• ·предпазване (prevention) от нарушения на информационната сигурност с цел да се минимизира вероятността от осъществяване на определени заплахи. На превенция подлежат, например, проникването на вредителски код, разрушаването, некоректната модификация или нерегламентираното разпространение на информация сред неоторизирани лица. Част от предпазването са мерките за физическа безопасност на компютърни системи срещу кражба, поражения от природни стихии или възникване на сериозни технически дефекти;
• ·откриване (detection) на нарушения на информационната сигурност, чието предназначение е своевременно да се идентифицира възникването на такива събития, да се сигнализира за тях към отговорните за защитата на сигурността лица и да се активират наличните инструменти за противодействие. Технологиите, които реализират тази функция, акумулират информация за естеството на възникналите нарушения, атакуваните при тях информационни ресурси, използваните методи за проникване и др., която е особено полезна при бъдещото развитие на системата за защита;
• ·реагиране (reaction) на нарушения на информационната сигурност, чрез което се противодейства на агентите, предизвикващи съответните събития, или се отстраняват последиците от тяхната активност. Една от основните задачи при реагиране е възстановяването (recovery) на работоспособността на компютърните системи и на състоянието на повредените или разрушени информационни ресурси.

Наред с разгледаната по-горе информационна сигурност, безопасността при използване на компютри в човешката дейност се интерпретира и в други аспекти. Широкото разпространение на вътрешните за организацията компютърни мрежи и бързото развитие на Интернет променя акцента в някои от изследванията и го поставя върху мрежовата сигурност (network security). Тя се определя главно като гарантиране на поверителността на мрежовия трафик (например, чрез прилагане на различни криптографски методи, които не позволяват неговото подслушване, eavesdropping), запазване на неговата достоверност (от фалшифициране на обменяните данни или на техния изпращач), контрол върху съдържанието му с цел противодействие срещу разпространението на вредителски код, както и обезпечаване на достъпност на мрежовите ресурси срещу опити чрез изкуствено изчерпване на инсталирания капацитет да се отнеме възможността за използване или предоставяне на определени услуги.

В други случаи по-голямо внимание се отделя на сигурността на самите компютърни системи (computer security) и се поставя ударение върху тяхната физическа безопасност и защита срещу кражба, върху контрола на достъпа до определени помещения, в които се намират ключови устройства или се съхраняват значими за организацията данни, върху запазването чрез реализация на различни криптографски методи на поверителността на информацията при кражба на компютри или информационни носители, както и върху технологиите за възстановяване на информацията при природни бедствия и технически дефекти, водещи до физическо унищожаване на цели системи или отделни устройства.

Всяка компютърна система притежава определено системно програмно осигуряване, чийто състав се определя еднозначно и окончателно едва в процеса на конфигуриране на операционната система според планираните за решаване задачи. Много от компонентите на системния софтуер се стартират автоматично с включване на захранването и използват част от компютърните ресурси до прекратяване на текущия сеанс на работа. Неконтролираното изменение във вече определения състав от резидентни системни софтуерни компоненти (от потребителя или от някоя програма без неговото информирано участие) представлява заплаха за информационната сигурност. От една страна новите резидентни системни компоненти консумират част от достъпните компютърни ресурси и могат да намалят производителността на потребителя, а от друга могат да извършват или да улеснят извършването на действия, които да компрометират сигурността. Поради тази причина наред с класическите характеристики на информационната сигурност, може да се формулира и допълнително изискване задетерминираност на състава на резидентния системен софтуер на компютърните системи.

Всеки от регистрираните потребители може да стартира определен набор от компютърни приложения, чрез които да осъществи обработка на данни или използване на достъпни услуги. Неконтролираното изменение в множеството от достъпни за стартиране приложения (по желание на крайния потребител или без негово участие от някоя програма) представлява заплаха за информационната сигурност. От една страна новите приложения могат да позволят или да създадат предпоставки за компрометиране на други информационни ресурси или дори да предизвикат загуба на работоспособност. От друга страна някои от новите приложения могат да са причина за непълноценно използване на работното време от потребителите като съществен ресурс на организацията или да доведат до съществени за нея щети при нарушаване на чужди (авторски) права. Поради тези причини от гледна точка на сигурността може да се формулира изискването за детерминираност на множеството от инсталирани компютърни приложения.

Компютърните потребители използват информационни ресурси в ежедневната си дейност, свързана с достигане на целите на огранизацията. Равнището на тяхната компетентност при използване на компютърни системи, приложения, данни и мрежови услуги са от съществено значение за запазване на информационната сигурност. От степента на тяхната лоялност към организацията (особено на системните администратори) зависи, например, реалното запазване на поверителността на ключови за организацията данни.

Доколкото функционирането на организацията обикновено е свързано с използване на софтуер, явяващ се обект на авторското право, действията на различни категории потребители може да доведе до нарушения на такива права и да предизвика значителни щети за нея. Наред с това съхраняването в рамките на организацията на определена информация може да предизвика нарушения на действащото законодателство (например, нерегламентирано събиране и използване на данни, определени от закона като лични или като класифицирана информация, или притежаване и разпространение на порнографски материали). Самото пренебрегване на заплахите за информационната сигурност може да превърне компютърните системи в инструмент за нарушаване на сигурността в други организации и да им причини конкретни щети. Подобна ситуация в организацията представлява непосредствена заплаха и за самата нея и дава основание да се определи легитимността на поведението като решаващо изискване към информационната сигурност.

Досегашното изложение позволява информационната сигурност най-общо да се определи като състояние, при което в достътъчна степен са гарантирани физическата безопасност на компютърните системи, поверителността, достоверността и достъпността на информацията и мрежовите услуги, детерминираността на състава на резидентния системен софтуер и инсталираните приложения, необходимата степен на компетентност и лоялност на потребителите и цялостното легитимно поведение в организацията.

Заплахи за информационната сигурност

1 Заплахи за информационната сигурност

Заплахите за информационната сигурност могат да използват чрез определени методи, техники и инструменти конкретни слабости в нейната защита за осъществяване на въздействие върху ресурсите на организацията. Тези заплахи могат да се обединят в няколко основни групи:

1.1 Вредителски код

Под вредителски код се разбира програма или част от програма, която се разпространява, инсталира или изпълнява независимо от желанието на потребителите или без тяхното информирано съгласие и може да предизвиква негативни последици за състоянието на различни ресурси (понякога отличаващи се от нейното декларирано поведение). Съществуват няколко категории вредителски код, които се различават помежду си главно по използваните механизми за проникване и разпространение и по последствията при активиране:

• · компютърни вируси: представляват саморазпространяващ се програмен код, който е присъединен към друга изпълнима програма или документ. Прониква в компютърната система при извършване на действия като активиране, стартиране или копиране на вече заразени с вируса обекти – приложения, външни носители като компакт-дискове или USB, документи, прикачени към електронни съобщения файлове и др. Могат да бъде безвредни или да причиняват щети на компютърната система като, например, изтриване или модифициране на файлове в зависимост от решението на техните създатели. Когато се активира някой компютърен вирус, той открива друга незаразена изпълнима програма и разполага в нейното тяло част от себе си. По този начин се извършва заразяване на друг изпълним код и се осъществява разпространение на вируса. Стартирането на вече заразена програма предизвиква неговото повторно изпълнение и създава възможности за по-нататъшното му пренасяне върху други, все още незаразени обекти.

Първият официално регистриран компютърен вирус е създаден през 1983 г. от Фред Коен в рамките на изследователски академичен проект. За разлика от този вирус, създаваните по-късно се отличават най-малко с многократно по-голямо разпространение. В други източници се твърди, че първият регистриран свободно разпространяем вирус е Elk Cloner, открит през 1981 г. върху компютри от фамилията Apple.

Много от вирусите са реализирани като резидентни. Те попадат в компютърната памет още със зареждане на операционната система или при стартиране на заразена програма и след това остават постоянно в нея. По този начин вирусите могат да атакуват всички програми, изпълнявани от потребителя по време на съответния сеанс на работа. и да затруднят собственото си откриване от антивирусни програми. Понякога такива компютърни вируси се определят като невидими (stealth).

Според въздействието си върху заразения обект вирусите се разделят на презаписващи инепрезаписващи. В първия случай те разрушават в процеса на заразяване част от съдържанието на атакувания обект (приложение или документ), което от друга страна улеснява тяхното откриване и унищожаване. Непрезаписващите вируси добавят своето съдържание някъде в заразения обект или запазват на друго място тази част от него, която променят.

По-усъвършенстваните вируси могат да прилагат различни криптографски техники, за да затруднят своето разпознаване и отстраняване. Тогава техният код се разпространява в шифриран вид, а малки нешифрирани модули осъществявят дешифриране на вируса преди неговото изпълнение и повторното му шифриране при заразяване на следващия обект. Локализирането и отстраняването на такива компютърни вируси значително се усложнява, когато в тях се използват няколко различни ключове или алгоритми за шифриране, които могат да се съчетаят с автоматична промяна на тялото на вируса чрез вмъкване на излишни инструкции, разместване на тези от тях, които са функционално независими и т.н. В последния случай се говори за полиморфни вируси.

Освен със способност за саморазпространяване, всеки компютърен вирус се характеризира с обект-носител, в който той се съдържа, външни действия, които предизвикват неговото изпълнение, и ограничен периметър на действие в рамките на заразената компютърна система. Вирусите могат да се прехвърлят върху други компютърни системи само едновременно със своя обект-носител – чрез сменяеми технически носители, поделени мрежови папки, по електронната поща или при зареждане от Интернет. Те са относително пасивни агенти, който разчитат на определени системни или потребителски действия за своето активиране и разпространение.

Потенциалът на компютърните вируси от гледна точка на заплахите за сигурността е значителен. Те са в състояние да унищожат отделни файлове или цели файлови системи, което да наруши достъпността на информацията, приложенията и цялата компютърна система. Промените в заразяваните обекти могат да са причина както за нарушаване на достоверността на информацията, така и на детерминираността на състава на резидентния системен софтуер.

Специфичен случай на компютърни вируси представляват макровирусите, които вместо към изпълними програми се прикрепят към документи, обработвани чрез популярните офис-приложения (например, Microsoft Word). Те са създадени с помощта на макроезици от рода на Visual Basic for Applications. Поради разполагането им в документи тези вируси са в състояние да проникнат през някои от средствата за защита, които са концентрирани само върху проверката на изпълнимите програми. Активирането им може да се осъществява автоматично при отваряне на документа, а последващите техни действия могат да бъдат най-разнообразни.

• · троянски коне (trojan horses): представляват програма или част от нея, чието изпълнение изглежда безопасно, но предизвиква странични (обикновено разрушителни) ефекти. Когато потребителят стартира такава програма или активира съответната нейна функция, тя осъществява реализираните в нея деструктивни действия. Троянските коне не могат да заразяват други обекти, не разполагат част от себе си в тялото им и поради това не използват други обекти-носители освен програмата, в което се намират. Поради тази тяхна особеност те могат да се разпространяват и в компрометираната компютърна система само чрез механизмите за заразяване с компютърни вируси на други системи – чрез копиране от сменяеми носители или от поделени папки във файловата система, чрез електронната поща, при зареждане на данни от Интернет.
• · червеи (worms): представляват относително ново явление в областта на вредителския софтуер. Първоначално са разработени като инструмент за мрежово управление. Първата програма с подобни възможности е създадена през 1982 г. в рамките на изследователски проект на Xerox. В края на 80-те години са регистрирани първите инциденти със сигурността на компютърни системи, причинени от червеи, в които обект на атаките са големи машини на IBM и UNIX машини.

Всеки червей може да се разпространява самостоятелно като използва слабости на някои мрежови услуги и не се нуждае от обект-носител (не заразява други приложения или документи). Той се активира без да се изисква каквото и да е действие от страна на потребителя и автоматично създава процес в компютърната система, в която е проникнал. С негова помощ могат да се извършват всякакви други действия (както полезни, така и разрушителни). Червеите могат да се разпространяват автоматично и по достъпните комуникационни канали, с което да проникват в различни компютърни системи, включени, например, към Интернет. В някои случаи те могат да пренасят други вредителски програми като компютърни вируси и троянски коне.

• · spyware: представлява вредителски код, чието действие се заключава в събиране на информация, свързана с личността на потребителя, и предоставянето и на трети лица без неговото знание и съгласие.
  
  Прониква в компютърната система и се разпространява към други системи чрез механизмите, познати от останалите видове вредителски код. Неговата специфика се заключава в особените действия при активиране, които, например, могат да бъдат свързани със запис на натиснати от потребителя клавиши и да изпращане на натрупаните данни към външни компютри, контролирани от нарушителите. От получените данни те могат да разпознаят потребителски имена и пароли, номера на сметки и кредитни карти, PIN-кодове и друга чувствителна информация, която може да се използва за кражба на самоличността на потребителя и извършване на други нарушения на сигурността.
• · adware: представлява друга форма на нежелана програма, която се инсталира без информираното съгласие на потребителя самостоятелно или заедно с популярни приложения (screensavers, ленти на разпространени браузъри и др).
  
  Действието им се заключава в извеждане върху потребителския екран на рекламни съобщения и банери, носещи финансови приходи за разпространителя на adware.Наред с това тези програми събират информация за активността на потребителя при използване на различни WEB-сайтове с цел да изградят негов профил – какво го интересува, какви услуги използва, какъв тип стоки закупува и т.н.                                                       След това тази информация се предоставя на трети лица, които я използват за целите на директния маркетинг или за други цели според техните предпочитания.
•  комбинирани заплахи (blended threats): една от най-модерните форми на вредителски код, която се състои от множество разнородни компоненти – червеи, троянски коне, spyware и др. В резултат от това многообразие възможностите за разпространение
  
  съществено се увеличават и професионално разработените комбинирани заплахи често се превръщат в световни пандемии, поразяващи милиони компютри. Подобни комплекси от вредителски код разполагат с разнообразни възможности за извършване на атаки и по-нататъшно контролиране на вече заразените компютри, които могат да формират подчинена на нападателя виртуална мрежа (botnet). По-нататък участниците в тази мрежа могат да се използват от управляващия ги нарушител за атаки срещу информационната сигурност на други системи, разпространение на нежелана електронна поща, фалшифициране на използването на WEB-сайтове и реализация на други заплахи.

1.2 Отказ от обслужване

Под отказ от обслужване (denial of service, DoS) се разбира отнемането от легитимните потребители на възможността да използват определни ресурси или услуги, което се
предизвиква, например, чрез запълване на комуникационния капацитет с големи обеми от безполезни данни или чрез изпращане на заявки към определен компютър до изчерпване на някои ограничени системни ресурси. Съществуват няколко основни вида заплахи, свързани с отказ от обслужване:

• · изчерпване на критични ресурси: за да предизвикат загуба на работоспособност на компютърни системи, нападателите се възползват от механизмите за взаимодействие, характерни за Интернет. Те изпращат заявки за започване на комуникация с атакувания компютър с много по-голяма честота от тази, с която автоматично се освобождават заделените негови ресурси. В резултат от това за кратко време ресурсите на набелязаната жертва се изчерпват и тя губи способността си да участва в комуникации с останалите легитимни компютърни системи.
• · изчерпване на мрежовия капацитет: най- често това се постига чрез изпращане на огромен брой стандартни сервизни комуникационни пакети към атакуваната система. Обикновено атака, осъществявана само от един нападател, не е в състояние да постигне такова натоварване на набелязаната жертва, че да доведе до отказ от обслужване поради изчерпване на инсталирания капацитет. За постигане на такава цел са необходими максимален брой едновременни заявки към нея от възможно най-много точки (източници), образуващи атакуваща мрежа. Вече компрометирани по отношение на сигурността компютърни системи могат да станат несъзнателни участници в такива мрежи и да се включат в атаки, водещи до отказ от обслужване, срещу други системи, чийто капацитет не би могъл да бъде изчерпан чрез атакуване от единствена точка. Тези атаки са известни като разпределени атаки, водещи до отказ от обслужване (distributed denial-of-service, DDoS).
• · нежелана електронна поща (spam): представлява електронни съобщения, съдържащи търговски предложения или рекламни послания, които се изпращат до получателите без тяхното желание или съгласие и без да им се предоставя възможност за отказ от по-нататъшно получаване на съобщения от същия източник.
  
  Нежеланата електронна поща заема част от външната памет, ангажира част от мрежовия капацитет, отнема време за премахването и от потребителите, а също така носи заплаха от проникване чрез нея на вредителски код. Тъй като изпращането на нежелана електронна поща е неприемливо от етична и юридическа гледна точки, много от разпространителите на такива съобщения се стремят да скрият както своята самоличност, така и мястото, където са извършени тези действия. За тази цел в нежеланата електронна поща адресът на изпращача често се заменя с фалшив адрес, а в разпространението на spam могат са се включат вече компрометирани чрез някои форми на вредителски код компютърни системи.

1.3 Социално инженерство

Социалното инженерство (social engineering) представлява съвкупност от техники, прилагани от нарушителите, чрез които се подвеждат потребителите да разкрият поверителна информация или да извършат други действия, компрометиращи информационната сигурност. Типични примери за такива техники са обажданията по телефона или изпращането на съобщения по електронната поща от нарушителя, който твърди пред потребителите, че е системен администратор или представител на висшето ръководство на организацията и се нуждае за определени задачи от техните пароли за автентикация в компютърната система. Когато получи тази информация, нарушителят става легитимен потребител и получава значително по-големи възможности да наруши сигурността на други компютърни ресурси. Други популярни техники за научаване на потребителски пароли са “надничането зад гърба” при тяхното въвеждане, отгатването им посредством известната информация за самите лица (техните имена, рожденни дати, имена на деца, приятели или домашни любимци и т.н) и прочитането им от календари, бележници и други хартиени носители, които се намират на работното място и където паролите са записани за удобство от самите потребители.

Техниките на социалното инженерство се използват и при осъществяване на атаки срещу информационната сигурност, известни като phishing.
Целта на тези атаки е да бъде подведен потребителят да разкрие важни негови лични данни (например, име и ЕГН, номера на банкови сметки или кредитни карти), които чрез кражба на неговата самоличност да се използват за получаване на финансови облаги от нарушителите.

Осъществяването на такива измами обикновено протича на две стъпки:

• изпращане на съобщение по електронната поща, което съдържа връзка към WEB-сайт. Нарушителят очаква получателят на съобщението да отвори конкретен сайт и да разкрие в него значима информация за себе си. За да подведе потребителя да активира сайта, съобщението предлага някаква примамка: изпращане на съобщението от името на човек или институция, будещи доверие или предизвикващи страх или респект, обещание за лесна печалба, подтикване на любопитството и т.н.;
• · отваряне на сайт, който изглежда легитимен, но се контролира от нарушителя и му позволява да събере чувствителна информация за потребителя. Ако потребителят предостави такава информация, става възможно да бъде открадната неговата самоличност и от негово име да се получат кредити, да се използват комуникационни услуги и да се извлекат преки финансови облаги.
  

В съчетание с изпращането на нежелани електронни съобщения (spam), техниката, известна като phishing, може да се използва за пренасочване на голям брой потребители към конкретен сайт, което изкуствено ще увеличи броя на посещенията в него и ще донесе финансови облаги за неговия притежател.

С помощта на подобна техника може да се предизвика потребителят да отвори прикачени файлове, съдържащи вредителски код. Подменянето на действителния изпращач с имена на колеги или на лица, притежаващи специфична роля в организацията (например, системен администратор или човек с авторитетна позиция в управлението), има за цел да спечели тяхното доверие.                                           Предизвикателното съдържание разчита, че любопитството на получателя ще доведе до отваряне на прикачените към съобщението файлове и активиране на вредителския код. За да притъпят бдителността на потребителя и да увеличат вероятността за тяхното отваряне, нарушителите предприемат мерки за скриване на типа на прикачените файлове, благодарение на които изпълними програми се представят като относително безопасни за получателя документи (текстове, анимации, графики).

Основи на криптографията(1 от 2)

1 Основи на криптографията

Криптографията (или cryptology – от гръцки език κρυπτός, kryptos, „скрит, таен“ и γράφω, gráphō, „пиша“,или-λογία,-logia, съответно) е практиката за преобразуване съдържанието на информацията в неразбираем вид. Съвременната криптография е научна област представляваща пресичане на дисциплините на математиката, компютърните науки и инженерство. Криптографията предлага методи за съхранение и трансфериране на данни във форма в която само този за когото те са предназначени да може да ги разчете.

Това е област от науката за кодиране на информацията в неразбираем вид за множеството от потребителите на системата – неоторизираните потребители. Съществува и част от криптографията, наречена криптанализ, която цели да се разкодира от неоторизирани потребители едно кодирано съобщение, като се използва или разбиване на алгоритъма извършил кодирането, или разбиване на ключа чрез който е извършено кодирането. Криптографията се основава на сериозен математически апарат. В настоящата монография ще се обърне внимание специално на аспектите на прилагане на криптографията в компютърните системи.

В съвременния свят алгоритмите за криптиране се подлагат на многогодишен анализ от специалисти от целия свят, за да се утвърдят като „добри” алгоритми. Поради което криптанализа се концентрира върху разбиването на ключовете, чрез които е извършено криптирането. Съществува зависимост между алгоритъма за криптиране и дължината на ключа (ключовете) за този алгоритъм, които предлагат определена „сигурност” на криптирането. Тази сигурност се измерва в количество години които трябва да работят компютри с определена изчислителна мощност, за да разбият ключа. С всеки изминат ден изчислителната мощност на компютрите се увеличава, а паралелните компютри в света предлагат все повече паралелно работещи процесори, които биха могли да се използват за разбиване на ключовете. Ето защо сигурността на криптиране е относителна и тази относителност е според човека или институцията и наличната изчислителна мощност която може да се използва за разбиване на ключовете.

Публично-ключовата криптография е криптографски подход, който е вграден в много от съвременните криптографски алгоритми и криптографски системи, чиято отличителна характеристика е използването на специален вид ключове – асиметрични ключове, единият от които се нарича публичен ключ, а другият частен ключ.
Използването на техники на публичния ключ и частния ключ криптография, както и много методи за защита на съобщения или потвърждаване на съобщения, са станали практически често приложими в съвременния живот.  Те не изискват сигурен първоначален обмен на един или повече защитни ключове. Публично-ключовата криптографията е една от основните и широко използвана технология по света, и е технологически подход, който е в основата такива Интернет стандарти като TLS (наследник на SSL), PGP и пр.

Отличителните техника, използвана в публичния ключ-частен ключ на криптографията е използването на асиметрични алгоритми и ключове, тъй като принципите.

 За разлика от тях съществуват симетрични ключове и алгоритми, които определят друга част от криптографията, понякога наречена шифриране. При асиметричната криптография, вEach user has a pair of cryptographic keys — a public key and a privatekey.секи потребител има двойка асиметрични ключове – публичен ключ и частен ключ.  Частният ключ се пази в тайна, а на публичния ключ, може да бъде широко разпространен.  Съобщенията са криптирани с получателя на публичния ключ и може единствено да бъде разшифрован със съответния частен ключ на получателя. Публичният и частният ключове са свързани математически, но частният ключ не може да бъде получен от публичния ключ. В контраст, алгоритмите за работа със симетрични ключове, които са били използвани от няколко хиляди години насам, използват един и същ защитен ключ, общ за изпращача и използван както за шифроването, така и за разшифроването (дешифрирането).  За да използвате симетричен криптиране схемата, изпращача и получателя трябва да са наясно предварително кой симетричен ключ ще използват.

Концепцията за криптографирането се състои в следното:

• · взема се съобщение във вида в който трябва да се предаде до получателя / четимо съобщение (Отворен текст),
• · криптира се то до шифриран текст – не четимо съобщение,
• · предава се шифрирания текст до приемащата част или се записва за последващо използване,
• · при получаването на шифрирания текст, той се декриптира, за да се получи съобщението във вид на отворен код – разбираем за получателя,
• · Получава се съобщението в отворен код.

Тези концепция е представена на фигура 11.1.

Фиг.11.1

Процесът на получаване на шифрирания текст от отворения текст се нарича „криптиране” или „шифриране”, а процесът на получаване на отворения текст от шифриран текст се нарича „декриптиране” или „разшифриране”. Криптирането и декриптирането може да се извършва както със симетрични ключове, така и с асиметрични ключове, но един процес на криптиране – декриптиране се извършва с определен тип ключове – или със симетрични, или с асиметрични ключове.

Работата със симетрични ключове, свързана с функцията Криптиране / Декриптиране, която е основна за работа със симетрични ключове, е представена на фигура 11.2.

Фиг. 11.2

Работата с асиметрични ключове се свеждана до 2 главни функции – Криптиране / Декриптиране, и Подписване / Верифициране на цифровия подпис. Функционирането по Криптиране / Декриптиране при работа с асиметрични ключове е представено на фигура 11.3. При този вид криптиране предаващата и приемащата страна притежават по два ключа – частен и публичен. Публичният ключ не е тайна и може да се съхранява както в хранилище с публичен свободен достъп на всички, така и може да се изпраща между партньорите на предаването на съобщения чрез стандартни средства – чрез отворен имейл, чрез изпращане по пощата, или може да се публикува на блога на всеки от участниците в комуникацията на съобщения.

Фиг. 11.3

Когато Пена желае да изпрати криптирано съобщение до Иван, което да не се разчита от никой друг, освен от Иван, се подхожда по следния начин. Пена притежаваща съобщението в отворен текст, го криптира чрез публичният ключ на Иван, като публичният му ключ може да се извлече от хранилище на публични ключове със свободен достъп, от блока на Иван или самия Иван да го изпрати на Пена преди самото крипткиране. По този начин съобщението се получава в шифриран текст и се предава до Иван. Средата чрез която се предава шифрираното съобщение е без значение, защото то е кодирано във вид в който никой да не го разчете. Иван, когато получи шифрираното съобщение го декодира използвайки своя частен ключ, получавайки съобщението в отворен текст – годно за четене. Частният ключ на Иван се пази от Иван и никой друг не го притежава, затова само Иван може да дешифрира съобщението. Едно съобщение кодирано чрез публичния ключ на клиент, може да се декодира само от неговия частен ключ и от никой друг ключ. Това се осигурява от алгоритъма за създаване на двойката частен и публичен ключ. Алгоритмът на PKI за създаване на асиметрични ключове осигурява уникалност на всяка двойка частен-публичен ключ.

Цифровото подписване е криптографска функция, която може да се извършва само чрез асиметрични ключове. Функционирането по Подписване / Верифициране на цифровия подпис е показано на фигура 11.4.

Фиг. 11.4

Когато Пена желае да изпрати документ до Иван, който е цифрово подписан от нея, то тя използва своя частен ключ (на разположение само на нея) и извършва процеса „Цифрово подписване” на документа, като изпраща на Иван документа и своя цифров подпис на документа. Цифровият подпис не е общо валидно цифрово съдържание – подпис на Пена, а цифров подпис свързан с точно определен документ (в него е отразено съдържанието на документа който предстои да се изпраща). Иван след като получи документа трябва да се убеди дали в действителност Пена е изпратила документа (изпращането особено по Интернет може да бъде повлияно или променено поради недоброжелателни лица включени в Интернет). За целта Иван взема публичния ключ на Пена (или от публично хранилище на публични ключове, или от блога на Пена и пр.) и извършва процеса наречен „Верифициране на цифровия подпис”. Този процес представлява декодиране на цифровия подпис на Пена и проверка дали той съответства на съдържанието на получения документ. Успешното декодиране може да се извърши само ако цифровото подписване е направено от частния ключ на Пена.

Алгоритмите за криптиране са две групи:

- Алгоритми работещи със симетрични ключове;

- Алгоритми работещи с асиметрични ключове.

Алгоритмите работещи със симетрични ключове са две групи:

o Алгоритми за блоково шифриране;

o Алгоритми за поточно шифриране.

При алгоритмите с блоково шифриране, съобщението предстоящо за криптиране се разделя на блокове обикновено по 8 байта преди да започне самото криптиране (при необходимост последната част от съобщението се разширява с нули до получаване на нужната дължина на блок). Всеки блок се подава на отделна самостоятелна математическа обработка. В края на криптирането отделните блокове се обединяват и се получава шифрираното съобщение – съобщението в криптиран вид. При блоковото шифриране се използват два подхода:

• · Конфузия базирана на субституция (замествайки битове или блок от битове с други битове или блокове. Един опростен пример е когато ключът показва през колко символа в азбуката една буква да се субституира с друга буква, разглеждайки азбуката като затворена кръгова верига от букви.
• · Дифузия базирана на транспозиция, изразяваща се в разместване битовете или блокове на оригиналния текст вътрешно, променяйки по този начин оригиналното значение. Един опростен пример е когато ключът определя от коя позиция на коя се премества съответния бит в рамките на блок.

Обикновено блоковото шифриране използва конфузията на части от блока и прилага дифузията върху новополучените елементи – фигура 11.5. Начинът на провеждането на конфузията и на дифузията зависи от ключа.

Фиг. 11.5

Поточното шифриране разглежда съобщението подлежащо за криптиране – входното съобщение, като последователност от битове. Криптирането се извършва бит по бит. При този вид алгоритми работещи със симетрични ключове, се създава поточен ключ, който ключ се обработва с логическа функция, например като “Изключващо ИЛИ” с входното съобщение. Поточният ключ се създава от „Генератор на поточен ключ”, чието генериране се управлява от съдържанието на симетричния ключ. Симетричният ключ също така определя и вида логическа функция която ще се прилага между поточния ключ и входното съобщение – фигура 11.6.

Фиг. 11.6

При алгоритмите работещи със симетрични ключове се прилага така наречения „Инициализиращ вектор”. Инициализиращият вектор е случайно число използвано в алгоритмите за да се даде допълнителна случайност на шифрования текст. Инициализиращият вектор осигурява два еднакви отворени текста, криптирани с два еднакви ключа, да водят до различни шифрирани текстове. По този начин едно входно съобщение се криптира с два входящи параметъра – симетричен ключ и инициализиращ вектор. Прилагането на инициализиращият вектор към поточното шифриране изискват по-висока изчислителна мощ от колкото към блоковото шифриране, поради което в софтуерно изпълнение по-често се използва инициализиращия вектор в съчетание с блоково шифриране.

В практиката се използват няколко утвърдени алгоритми за работа със симетрични ключа. Алгоритмът DES има ограничено приложение сега, но той е основа за работа на алгоритъма 3DES. Алгоритмът DES е с блоково шифриране в който се използват и елементи на поточното шифриране, като един блок се състои от 8 байта. Работи се с 56 битов ключ (плюс допълнително 8 бита за контрол по четност, дава 64 битов ключ). Един блок се обработва от 16 цикъла на субституция и транспозиция. Последователността и типовете транспозиция и субституция зависят от стойността на ключа. Резултатът от работата на DES върху блок от 8 байта е 8 байтов шифриран блок. Ако е имало разширение на блок на отворения текст, но резултатният блок – шифриран текст не може да се отреже. DES има няколко начина на работа:

-  ECB (Electronic Code Book) – при едни и същи блок и ключ резултатът е винаги еднакъв – като в таблица на съответствията;

-  CBC (Cipher Block Chaining) – при криптиране на блок се използва като входни данни блокът на отворения текст и шифрираният резултат от предишния блок на същия отворен текст (обработен с функция “Изключващо ИЛИ “). Може да използва инициализиращ вектор;

-  CFB (Cipher Feеdback) – работи с комбинация на поточно шифриране, като за всеки блок се прави поточно шифриране с използване на инициализиращ вектор и ключа. За първия блок инициализиращия вектор е зададен, а за всеки следващ блок се използва шифрирания текст на предишния блок;

-  OFB (Output Feedback) – също като CFB, но за инициализиращ вектор се използва не шифриран текст на предишния блок, а стойност идваща директно от генератора на поточен ключ на предишния блок;

-  CRT (Counter Mode) – като OFB, при като за инициализиращ вектор се избира брояч на блоковете за криптиране.

Алгоритмът 3DES използва 3 последователни действия на алгоритъма DES, работещ с 48 цикъла на субституция и транспозиция, което прави резултата значително по-труден за анализиране. Той използва или 112 битов ключ (2 ключа на DES) , разделени логически на две части, използвани в трите стъпки на DES криптографирането, или 168 битов ключ (3 ключа на DES). В трите последователности на използване на алгоритъма на DES може да се прилага за втората последователност криптиране или декриптиране. В съчетание с броя използвани ключове (2 или 3), се създават следните практически режими на алгоритъма 3DES:

• DES-EEE3 – изпълнява три полседователни пъти криптиране с три различни ключа;
• DES-EDE3 – изпълнява криптиране, декриптиране и криптиране (декриптирането е с ключ различен от криптирането, което не води до получаване на първия входен резултат);
• DES-EEE2 – работи като DES-EEE3, но използва два ключа, като за първото и третото криптиране се използва един и същ ключ;
• DES-EDE2 – работи като DES-EDE3, но използва два ключа, като за първото и третото криптиране се използва един и същ ключ.

На фигура 11.7 са показани два от посочените по-горе режими на работа в графичен вид.

Фиг. 11.7

За постигане на определена сигурност е необходимо да се работи с 3DES ключове с дължина поне 128 бита (разполагащи с два ключа и използващи режими DES-EEE2 и DES-EDE2).

Основи на криптографията(2 от 2)

В последните години се налага нов алгоритъм за работа със симетрични ключове – AES, който има за цел постепенно да измести алгоритмът 3DES. Той бе избран за нов международен стандарт в края на миналото десетилетие. AES е с блоково шифриране и работи с ключове 128, 192 и 256 бита. За осигуряване на сравнително добра сигурност е добре да не се използват AES ключове с дължина 128 бита. Друг алгоритъм за работа със симетрични ключове е IDEA. Той e с блоково шифроване с блок от 8 байта, разбити на 16 елемента и за всеки се изпълняват 8 математически функции. IDEA работи с ключ 128 бита. Доста добър алгоритъм за работа със симетрични ключове е  Blowfish. Той  работи с 8 байтови блокове, разбити на 16 елемента, като използва ключове от 8 до 448 бита. Алгоритмът Blowfish предлага сравнително добра сигурност при дължина на ключове няколко стотин бита, близки до 448. Алгоритмът RC4 е един от най-прилаганите алгоритми за работа със симетрични ключове използващи поточно шифриране. Той е използван в основата на стандарта  ISO 802.11. Използва ключове с различна дължина, като е много ефективен на производителност и е прост за прилагане. Алгоритмът RC5 e за работа със симетрични ключове, работещ с блоково шифриране, като блоковете могат да варират – 4, 8 и 16 байта и ключове могат да бъдат с променлива дължина – до 255 бита. Алгоритмът RC6 е също за работа със симетрични ключове, с блоково шифриране, като е създаден на основа на RC5 с цел да има ускорено бързодействие.

Един от най-използваните алгоритми работещ с асиметрични ключове е RSA. Този алгоритъм се използва за 3 вида функции на информационната сигурност:

• ·          за криптиране
• ·          за цифров подпис
• ·          за автентикиране
• ·          за обмен на ключове
• ·          за разпространение на ключове.

Наименованието на този алгоритъм поизлиза от имената на неговите съставители – R.Rivest, A.Shamir, L.Adleman. RSA алгоритмът намира масово приложение в различни компоненти на изчислителните системи – софтуер, хардуер, операционни системи, телефони със защита, смарт карти и пр. Сериозността на този алгоритъм идва от трудностите в провеждането на изчисленията – намиране на всички делители на големи числа (factoring), които трябва да се извършват от компютърни системи при опит за пробиване за ключовете. Тази трудност се увеличава с увеличаване дължината на ключовете. Алгоритмът работи умножавайки 2 много големи числа (например с дължина между 100 и 200 цифри), като се генерират двойката ключове – публичен и частния. За ефективна по бързодействие работа на RSA алгоритма се препоръчва използване на хардуерен ускорител, например в смарт карти чипа да има крипто контролер. В съвременния свят RSA ключове с дължина 512 бита не се считат на сигурни. Първото ниво на сравнително сигурни ключове е при дължина 1024 бита. По-добра сигурност се получава при ключове с дължина 2048, 4096 и 8196 бита.

Друг алгоритъм работещ с асиметрични ключове е ЕСС (Elliptic Curve Cryptosystems). В последните няколко години този алгоритъм се утвърди като напълно равноправен на RSA и международно признат алгоритъм. Множество тестове по света се извършиха в последните 10 години, за да се утвърди той като надежден алгоритъм. Едно от основните му предимства е, че за функционирането си изисква по-малко изчислителни ресурси в сравнение с RSA алгоритъма и оттук неговото използване става по-просто и е по-евтино. ЕСС може да се използва за същите предназначения, както и RSA:

• ·          за криптиране
• ·          за цифров подпис
• ·          за автентикиране
• ·          за обмен на ключове
• ·          за разпространение на ключове

Независимо че ЕСС изисква много по-малки изчислителни мощности отколкото RSA, то той запазвайки много висока степен на надеждност. Грубо, може да се направи следното сравнени между дължините на ключове на RSA и ECC за постигане на еквивалентна сигурност – таблица 1:

Таблица 1

RSA дължина на ключове	ЕСС дължина на ключове
1024 бита	160 бита
2048 бита	282 бита
4096 бита	409 бита

Съществува друга двойна алгоритми под името ЕlGamal,  използвани в световната практика. Единият от тях, по-често използван е  предназначен за цифров подпис. Той се основава на трудностите в изчисленията базирани на дискретните алгоритми. Другият алгоритъм е предназначен за криптиране. Като заместител на алгоритъма ЕlGamal за цифров подпис е така нареченият DSA (Digital Signature Algorithm) или наречен още DSS (Digital signature Standard). Той е защитен с патент от 1993, но е без ройалтис. DSA е алгоритъм само за цифров подпис и не за криптиране. Работи с ключове от 512 до 1024 бита. По сравнение н RSA, DSA работи еднакво бързо за подписване, но около 10-40 пъти по-бавно за верифициране. От гледна точна на сигурност, DSA се счита за еднакво сигурен като RSA.

Фактически, с асиметричните ключове може да се извършват следните функции на информационната сигурност:

• ·         Конфиденциалност  – превръщане на данните в неразбираем вид, освен за                                                                предназначения обект (криптиране данните);
• ·         Интегрираност – проверка данните не са били променени след тяхното създаване;
• ·         Автентикация – проверка идентификацията на обекта създал информацията;
• ·         Оторизация – предоставя достъп до ресурси (компютри, устройства, програми) след успешна автентикация  (представяне на ключ /  парола / сертификат) ;
• ·         Не-отказване на изпращане – осигурява, че изпращача не може да откаже изпращането на данни;
• ·         Наличност – осигурява, че ИКТ системите могат да изпълняват предназначените им функции.

При създаването на цифровия подпис се използва функцията хеширане. Хеш алгоритмът е едностранен вид за преобразуване защитен алгоритъм – превръща подадено съобщение в определен кондензиран вид – „извлечение” (message digest), без да може от извлечението да се създаде обратно началното съобщение. По този начин Хеш функцията представлява еднократно преобразуване – от отворен текст в извлечение, докато обратното преобразуване не не възможно. Две различни съдържания на отворен текст формират две различни съдържания на извлечение, като едно и също съдържание на отворен текст формира винаги едно и също съдържание на извлечение. Хеш алгоритмът преобразува подадено съобщение което може да бъде с променлива дължина. Извлечението е с фиксирана дължина. Основните хеш алгоритмите са публично известни и  не са под патентна защита. Използват се масово два типа хеш алгоритми:

• Обслужващ алгоритъм за създаване на извлечение (Message Digest Service Algorithm), който създава 16 байта извлечение. Представители на този алгоритъм са МD2, MD4 и MD5, HAVAL;
• Защитен Хеш алгоритъм (Secure Hash Algorithms – SHA), който създава 20 байтово Извлечение. Представители на този алгоритъм са: SHA , SHA-1, Tiger.

SHA-1 е най-надеждният Хеш алгоритъм за момента. Той е по-надежден от MD5, но пък изисква по-големи изчислителни ресурси. SHA-1 има множество софтуерни решения, които даже за смарт карти работят достатъчно бързо.

Хеш функцията се използва също и за осъществяване интегрираност на данните. На фигура 11.8 е представено такова функциониране.

Фиг. 11.8

Оригиналното съобщението което предстои да се предава, се обработва от Хеш функция, която формира Извлечението на съобщението. Двете части – оригиналното съобщение и извлечение се предават към получателя. Той от своя страна прилага същата Хеш функция върху полученото оригинално съобщение, като получава ново извлечение, наречено „Получено извлечение”. Съвпадението при сравняването на „Полученото извлечение” с предаденото извлечение показва, че оригиналното съобщение е предадено цялостно, т.е. то е получено без изменения. Това представлява проверката за интегрираност на предаваното съобщение.

Посредством криптиране на резултата от Хеш функцията (Извлечението), се осъществява цифровия подпис, както и функцията по Не-отказване на изпращане – фигура 11.9.

Фиг. 11.9

При цифровото подписване, подписващата страна – в случая на представената фигура Пена, подава оригиналното съобщение на Хеш функция, в резултат на което получава извлечение. Това извлечение го криптира със своя частен ключ и получава цифровия подпис на Пена за специфичното оригинално съобщение. Криптирането на извлечението използва специален алгоритъм за цифров подпис и по-точно неговата част  „Подписване” (signing). Процесът за работа с цифров подпис притежава и втора част – „Верифициране” (verification), която служи за разкодиране на извлечението и проверка кой е цифрово подписал съобщението. Предаващата страна (в случая на фигурата Пена) създава „Съобщение за предаване” състоящо се от 2 части – оригиналното съобщение и цифровия подпис, което се предава на получаващата страна (в случая на фигурата Иван). Иван отделя от „Съобщението за предаване” неговата част – оригинално съобщение, обработва полученото оригинално съобщение със същата Хеш функция (Пена и Иван предварително са се договорили коя Хеш функция ще използват), като Иван получава т.н. „Получено Извлечение-1”. Той също така извършва „Верифициране” на цифровия подпис на Пена, използвайки нейния публичен ключ (с който всеки може да разполага) и получава т.н. „Получено извлечение-2”. При положителното сравнение на „Получено Извлечение-1” с „Получено Извлечение-2” се доказва, че Пена е подписала предаденото оригинално съобщение. При това положително сравнение се работи с публичния ключ на Пена, което означава че Пена е направила цифровия подпис използвайки своя частен ключ. И понеже само тя има своя частен ключ, то следва че Пена е изпратила съобщението. По този начин тя не може да откаже, че е изпратила съобщението. Тази форма на „Не-отказване на изпращане” е юридическа основа удостоверяване произхода на съобщението. За всяка отделна страна трябва да има съответното законодателство, с което да могат да се признават цифровите подписи. В България съществува закон, който признава цифровия подпис за юридическо доказателство за подпис. Разбира се съществуват много нюанси свързани със съхранението на частния ключ на изпращача на съобщението, което може да служи за основа за оборване на изпратеното съобщение, но това са въпроси излизащи обсега на настоящата монография.

Възможно е да се осигури по-висока надеждност на предаване на съобщение подписано с цифров подпис, като самото съобщение се предава не в отворен текст, а криптирано – в шифрован текст. Пример за такова криптирано предаване на съобщение, което е с цифров подпис е показано на фигура 11.10.

Фиг.11.10

Разликата с предишното предаване на съобщението е, че самото оригинално съобщение не се предава в отворен текст, т.е. всеки по комуникационното трасе да може да го чете, а се предава в криптиран вид. Това усложнява процедурата по обработка на съобщението, но осигурява нечетимост на съдържанието на съобщението. Усложняването се състои в допълнителното криптиране на оригиналното съобщение с публичния ключ на получателя (в случая на фигурата – Иван) в предаващата страна, и  последващото декриптиране с Частния ключ на получателя в приемащата страна. Всички останали функции свързани с формиране на цифровия подпис и неговата проверка остават същите.

Симетричният ключ (еднакъв за предаващата и приемащата страна) може да се използва за автентикация на предаващата страна (проверка на идентичността на предаващата страна), заедно с поддържане на функцията по интегрираност на данните. За целта се използва методът на Хеш автентикиращия код – HMAC (Hash Message Authentication Code). Принципът на работа за интегриране на данни с автентикация на предаващата страна с използване на НМАС е показан на фигура 11.11.

Фиг.11.11

Оригиналното съобщение се подава на Хеш функция, която формира за резултат – извлечение. Това извлечение се долепя до симетричния ключ и полученото слепено двоично съдържание се подава отново на Хеш функцията, генерирайки НМАС. Оригиналното съобщение, заедно с така формирания НМАС създават съобщението което се предава. При приемащата страна се извършват аналогичните симетрични процеси, като се генерира „Получен НМАС”, който се сравнява с НМАС от предаденото съобщение. По този начин се извъшва автентикация, че предалият съобщението е този, който притежава симетричния ключ. Трябва да се отбележи, че формирането на НМАС не е функция на криптиране със симетричния ключ. Формирането на НМАС става чрез две последователни прилагания на Хеш функцията, като при второто прилагане участва съдържанието на симетричния ключ, без да се извършват други криптиращи действия с него.

На основа на представеното по-горе функция – интегриране на данните и автентикация на предаващата страна, може да се извърши допълнителна операция – криптиране на оригиналното съобщение. Схемата извършващата тази операция е показана на фигура 11.12.

Фиг.11.12

Управлението на асиметричните ключове в PKI е по-лесно от колкото управлението на симетричните ключове. Криптирането с използване на асиметрични ключове е по-надеждно от колкото криптирането със симетрични ключове, но същевременно процесът на използване на асиметрични ключове изисква по-голяма изчислителна мощност и работи по-бавно от колкото при използване на симетрични ключове. Затова при обмен на големи количества данни които трябва да се обменят криптирани е за предпочитане да се работи със симетрични, а не с асиметрични ключове. При такава ситуация се създава така наречените „сесийни ключове”, които по същество са симетрични ключове, но се създават от асиметричните ключове на партньорите, за еднократна употреба – за дадена сесия само. Алгоритъм, който създава сесийни ключове е този на Diffie-Hellman (D-H). Този алгоритъм трябва да работи в двата партньора, формирайки протокол, посредством който се създава симетричния сесиен ключ. При работата на D-H алгоритъма се използва функцията “mod”, чието име произлиза от modulo, на български „по модул” и дава за резултата-остатък от делението на две числа (a mod b е еквивалентен на остатъка от делението a/b). Например: 8 mod 5 дава 3, защото 8/5 =1 и остатък 3. В тази функция “a” и “b” са цели числа, като резултатът е също цяло число. D-H алгоритмът работи по начин показана на фигура 11.13.

Фиг.11.13

На фигурата са посочени последователностите които трябва да извършват двете страни, както и доказателството защо изчислените от двата партньора (в случая на фигурата Пена и Иван) сесиен ключ „К” са едни и същи по значение. По-долният пример представя създаването на сесиен ключ със стойност 2.

• ·         Пена: избира натуралните числа g=5, р=23; генерира случайното число а=6;  изчислява  А=g↑a mod p = 5↑6 mod 23 = 8; изпраща 5, 23, 8 на Иван;
• ·         Иван: получава g=5, р=23 и А=8; генерира случайното число b=15; изчислява B=g↑b mod p = 5↑15 mod 23 = 19;  изпраща 19 на Пена;
• ·         Пена: изчислява Сесийния ключ „K”=B↑a mod p = 19 ↑6 mod 23 = 2
• ·         Иван: изчислява Сесийния ключ „K”=A↑b mod p = 8 ↑15 mod 23 = 2.

В криптографията, Цифровия сертификат (или удостоверение за самоличност) е електронен документ, който използва публичния ключ за идентичност, заедно с информация като името на дадено лице или организация, неговия адрес, и пр., които са цифрово подписани от частния ключ на сертифициращия агент. The certificate can be used to verify that a public key belongs to an individual. Сертификатът може да се използва за да се провери, че публичния ключ принадлежи на дадено лице (физическо или юридическо).

При работа с уеб сървъри, често се прилага форма на защитен достъп на комуникация до него чрез прилагане на SSL и протокола HTTPS. В този случай уеб сървърът трябва да има зареден цифров сертификат. Браузърът проверява автентичността на уеб сървъра чрез проверка на неговия цифров сертификат – уеб сървъра си изпраща своя сертификат на браузъра за проверка дали браузъра има доверие на този сертификат (в браузъра се зареждат цифровите сертификати на които той има доверие).This security is important for electronic commerce . Това е важно за сигурността на работа на целия уеб комплекс – клиент (чрез неговия браузър) и сървър (уеб сървъра). Използването на SSL и цифрови сертификати в уеб браузърите е основен защитен механизъм, който задължително трябва да се прилага при електронна търговия и всички видове запращания. In practice, a web site operator obtains a certificate by applying to a certificate provider with a certificate signing request . Сертификатът на уеб сървъра е електронен документ, който съдържа уеб сайт името, имейл адрес на администратора на този уеб сайт и фирмена информация на притежателите на сайта. The certificate provider signs the request, thus producing a public certificate. Преди издаване на сертификат за уеб сайт, операторът на сертифициращия агент трябва да поиска документи за удостоверяване на лицето изискващо издаване на сертификат. Therefore, an https web site is only secure to the extent that the end user can be sure that the web site is operated by someone in contact with the person that registered the domain name . Ако браузърът получи достъп до уеб сайт, чийто цифров сертификат не е приет до момента като доверен, то самият браузър издава съобщение до потребителя – дали да приеме работата с този уеб сайт или да я отхвърли.As an example, when a user connects to https://www.example.com/ with their browser, if the browser gives no certificate warning message, then the user can be sure that interacting with https://www.example.com/ is equivalent to interacting with the entity in contact with the email address listed in the public registrar under „example.com“, even though that email address may not be displayed anywhere on the web site. Например, когато потребителят се свързва с https://www.example.com/ чрез браузъра си, ако браузъра не дава сертификат предупреждение съобщение, потребителят може да бъде сигурен, че общува с достоверен потребител – https://www.example.com/ и може да използва за контакт имейл адреса, посочен в сертификата на „example.com”. No other surety of any kind is implied.Further, the relationship between the purchaser of the certificate, the operator of the web site, and the generator of the web site content may be tenuous and is not guaranteed. Трябва да се има предвид, че връзката между купувача на сертификат, операторът на уеб сайт, както и генератор на уеб съдържанието на сайта може да бъде слаба и тя не е гарантирана. At best, the certificate guarantees uniqueness of the web site, provided that the web site itself has not been compromised (hacked) or the certificate issuing process subverted. В най-добрия случай, сертификатът гарантира уникалност на уеб сайт. За да бъде потребителя сигурен, че уеб сайта не е бил компрометиран (hacked), то трябва да се провери цифровия подпис на сертификата.

Идентификация и автентикация

1 Идентификация и автентикация

Изграждането на големи корпоративни мрежи и свързванено в тях на множество компютърни системи позволява да се предоставят изчислителни и информационни ресурси на значителен брой потребители. Колективното използване на ресурси налага всеки от тях да се идентифицира еднозначно при започване на сеанс (влизане в мрежата). Наред с това развитието на услугите, предоставяни чрез Интернет, в посока на електронна търговия и разплащания прави идентификацията на участниците в тях (хора, компютри, софтуер) абсолютно задължителна.

Под идентификация (identification) се разбира дефинирането на обозначение, което еднозначно определя дадена същност (човек, устройство, приложение), и преобразуването му в компютърно използваема форма. Типични средства за идентификация са потребителски имена и номера, уникални адреси (на мрежови контролери, за протокола TCP/IP) или URL обозначения.

При започване на работа в мрежова среда или при осъществяване на комуникации с някои от ресурсите в Интернет, потребителите задължително се представят чрез въвеждане на техните уникални идентификатори, което позволява те да бъдат разпознати, да се установи какво им е позволено да извършват с различни ресурси и кое им е забранено. Идентификацията е предпоставка за регистрация на поведението на потребителите по отношение на конкретни ресурси и за търсене при необходимост на отговорност за техните действия и за последиците от тях.

След като предяви своята идентичност чрез въвеждане на избрания уникален идентификатор, потребителят трябва да докаже своята самоличност, т.е. че той действително е този, за когото се представя. Това се осъществява в процеса на автентикация (authentication), който потвърждава или отхвърля представената идентичност на потребителя и не позволява на някого да действа от чуждо име. Наред с това автентикацията на потребителя не му позволява в бъдеще да отрича извършени от негово име действия, определяно като неопровержимост (non-repudiation).

Автентикацията се осъществява чрез някои от следните методи:

• · нещо, което потребителят знае: представлява символна последователност, която е известна само на конкретен потребител и е неизвестна за останалите. Когато тя се предяви заедно с потребителския идентификатор, това се възприема като доказателство за притежаване на съответната самоличност. Типични примери за нещо, което се знае, са пароли, PIN кодове, частни ключове и др. Най-разпространеното и достъпно средство за автентикация са паролите, които представляват последователност от символи, избрана от системните администратори или от самите потребители. Много често към тях се предявяват определени изисквания – да съдържат поне някакъв минимален брой символи (дължина на паролата), да включват определено разнообразие от букви, цифри и специални символи (азбука на паролата), да не се срещат повече от определен брой повторения на всеки символ и др. Целта на тези изисквания е паролите да бъдат трудни за разпознаване от потенциалните нарушители, които биха могли да ги разкрият и да се представят от името на истинския потребител. Разкриването на пароли може да се осъществи чрез тяхното отгатване при познаване на личността на потребителя (имена на роднини, познати, домашни любимци, хоби и любими занимания, използвани при създаване на паролата) или чрез компютърни средства (речници с често използвани пароли, пълна проверка на всички възможни комбинации от символи с определена дължина и др.). Силните пароли, отговарящи на посочените по-горе изисквания, са значително по-устойчиви срещу подобни механизми за атака. В същото време те стават трудни за запомняне от потребителите, които трябва да ги предявяват при всяко започване на работа. Това ги кара да избират слаби пароли, които не отговарят на изискванията за трудно разкриване, или да записват конструираните силни пароли на лесно достъпни места, което ги превръща в слабост за информационната сигурност.
• · нещо, което потребителят притежава: представлява материален обект (карта или друг носител), върху които обикновено е записана допълнителна информация. В процеса на автентикация потребителят предявява притежавания обект като го поставя в устройство, което може да прочете неговото съдържание и така да потвърди или отхвърли декларираната идентичност. Чрез подобни техники, например, може да се осъществи автентикация на потребителите при използване на електронни подписи за обмен на информация с органите на данъчната администрация по повод на годишни данъчни декларации, декларации по ЗДДС, изпращане на информация в Регистъра на осигурените лица или при други транзакции.
• · нещо, което потребителят е: за доказване на идентичността на потребителя се използват характеристики, които физически (биологично) му принадлежат – отпечатъци на пръстите, сканиране на ретината и други. Както и при останалите методи за автентикация, използването на съответния признак за доказване на идентичността се предшества от прочитане и съхраняване на образец в системата, проверяваща самоличността. В случаите, когато се използва нещо, което потребителят е, образец, например, от отпечатъците на неговите пръсти се запазват върху някакъв технически носител (например , личната карта на гражданина) и след това служат за сравнение с отпечатъците на лице, което претендира за същата идентичност.
• · многофакторна автентикация: в случаи, когато самоличността на потребителя трябва да се докаже по по-надежден начин, могат да се реализират механизми, при които се прилага някаква комбинация от разгледаните по-горе методи. Могат, например, да се комбинират автентикация чрез пароли с удостоверяване на самоличността чрез притежавана карта, каквато е разпространената практика при теглене на пари в брой от банкомати – техният потребител притежава съответната карта и знае съответния PIN-код.

Успешната автентикация на потребителя не му дава пълни права върху всички ресурси. Вместо това чрез процес, наречен оторизация (authorization), се дефинира кои ресурси са достъпни за конкретен потребител (човек или компютърна система) и какви са неговите права (пълномощия, позволения) при осъществяване на достъп до тях. Достъпни за даден потребител могат да бъдат, например, само файловете от определени папки или само част от функциите, които може да изпълнява дадена приложна програма. Той не е в състояние да разглежда дори имената на останалите файлове и не може да активира функции на приложението, които не са му позволени. По отношение на обектите, за които му е предоставен достъп, потребителят може да притежава различни права – четене на част от файловете, запис в друга част от тях, изтриване на трета част и т.н.

Разрешените за конкретен потребител информационни ресурси и неговите права при достъп до тях обикновено се дефинират при регистрация на съответната идентичност – явно от администратора на ресурсите или неявно според подразбиращата се политика за сигурност. Когато по-късно той поиска да използва конкретен информационен ресурс, средствата за защита на сигурността осъществяват контрол на достъпа, при който се проверява дали е разрешено използване на заявената информационна съвкупност и какви действия са допустими при опериране с нея.

Класическият подход за оторизация на потребители предполагат за всеки от тях да се дефинира (от системен администратор) какви са разрешените им права по отношение на всеки самостоятелно контролируем ресурс (файл, функция на приложение, услуга). Когато броят на потребителите нарастне и динамично се променя, а количеството на управляваните ресурси стане значително, индивидуалната оторизация на всеки от тях става много трудоемка и трудно осъществима. В такива случаи се реализират механизми за колективно предоставяне на права и пълномощия при достъп, които се основават на създаване на групи или дефиниране на роли. Те обединяват няколко потребители, които използват по еднакъв начин общ набор от ресурси и в резултат от това се нуждаят от еднакви права за достъп до тях. Ресурсите и правата за тяхното използване се задават като част от дефиницията на съответната група или роля. За да получи същите права за достъп, потребителят просто се присъединява към подходящата група или му се присвоява изпълняваната роля.

Системни компоненти на информационната сигурност

1 Системни компоненти на информационната сигурност

За защита на информационната сигурност от потенциални нарушители са разработени разнообразни технологии, които са предназначени за предпазване от атаки, за идентифициране на нетипични и съмнителни действия, както и за реагиране на събития, влияещи върху нея. Те могат да се класифицират в две основни групи – операционни и криптографски технологии. Операционните технологии са предназначени главно за поддържане и защита на достъпността на информацията, докато криптографските служат основно за запазване на поверителността и достоверността на данните като не позволяват на нарушителите да използват неправомерно придобита част от тях.

Най-разпространените операционни технологии за защита на информационната сигурност са:

1.1 Антивирусен софтуер

Антивирусният софтуер представлява програмен продукт, който изпълнява следните основни функции:

• · предпазване от проникване на вредителски код (чрез електронната поща, при навигация в WEB-сайтове, чрез поделени във вътрешната мрежа папки, от сменяеми носители или чрез други механизми). За реализация на тази своя функция антивирусният софтуер активира резидентен модул (модули), който проверява във фонов режим всички отваряни или съхранявани файлове, както и стартиращите се приложения. При откриване в тях на вредителско съдържание или на потенциално съмнително поведение, той може да блокира започнатото действие, да елиминира при възможност заплахата и да сигнализира потребителя за инцидента.
• · търсене на вредителско съдържание – осъществява се по явно искане от потребителя чрез избор на съответната функция на програмния продукт или при планираното му активиране от операционната система при възникване на определените за нейния диспечер условия (дата и час, ден от седмицата, първоначално зареждане или други системни събития). Тази функция се изпълнява, например, след инсталиране върху компютърната система на антивирусния софтуер, след обновяване на базата с разпознавани вируси или при поява на съмнения за нарушена сигурност. Търсенето на вредителско съдържание може да обхваща цялата достъпна файлова система, отделни папки или файлове в нея или определени системни области.

Характерно за механизма на работа на антивирусния софтуер е, че откриването на вредителско съдържание във файлове или в компютърната памет се осъществява чрез проверка за срещане в тях на определени образци (сигнатури, signatures, virus definitions). Те се конструират и предоставят на потребителите от производителя на антивирусния софтуер и откриването им в определени обекти дава основание да се смята, че в тях се намира вредителско съдържание (те са заразени от определен вирус или друг вредителски код). Честата поява на нови или модифицирани представители на вредителския код превръща актуалността на разпознаваните сигнатури в основно качество на антивирусния софтуер. Поради тази причина оперативността в обновяването на използваните от него дефиниции на вируси се превръща в основен критерий за избор на антивирусен софтуер в организацията.

За намаляване на зависимостта на действието на антивирусния софтуер и степента на защита на информационната сигурност от актуалността на използваните сигнатури на вредителски код, утвърдените доставчици на подобен софтуер (Norton AntiVirus на Symantec, Panda на Panda Software, F-Secure на McAfee, Kaspersky AntiVirus и др.) предоставят възможности за евристично търсене (heuristics). То се основава на дефинирани общи правила за поведението на вредителския код, които са определени чрез изследване на значителен брой негови конкретни представители. С тяхна помощ антивирусният софтуер е в състояние да открие вредителско съдържание, за което още не притежава конкретна сигнатура. По този начин се ограничава рискът от проникване на новопоявил се вредителски код в компютърната система преди създаване, придобиване и инсталиране на разпознаваща го еднозначно вирусна дефиниция. Поради свободата при създаване на вредителски код, евристичните правила не винаги са в състояние точно да го идентифицират. В други случаи тяхното прилагане води до определяне като вредителски код на приложения, които реално нямат такива характеристики. Тогава се казва, че антивирусният софтуер изпраща фалшиви сигнали за наличие на вредителско съдържание в дадени обекти.

• · отстраняване на открит вредителски код в процеса на предпазване от проникване или при търсене на вредителско съдържание. Най-добрият резултат от подобно действие на антивирусния софтуер е възстановяване на първоначалното съдържание и пълната функционалност на заразените обекти. Тази операция обикновено се нарича лекуване (healing, disinfection). В редица случаи това е невъзможно, например, поради заместване на част от съдържанието на заразения обект с вредителския код. Тогава антивирусният софтуер отстранява вредителския код като изтрива заразените с него обекти или като ги премества под карантина в специално хранилище (quarantine folder, virus vault). Намиращите се в него файлове не могат да се отварят или изпълняват, а се съхраняват за изследване на механизмите за заразяване или до получаване на актуализирана версия на антивирусния софтуер, която може да ги излекува.

От особено значение за ефикасността на антивирусния софтуер при защита на информационната сигурност е оперативността на обновяване на използваните от него сигнатури на вредителски код. Потребителите могат да получат нови дефиниции като ги заредят от сайта на доставчика на използвания от тях продукт автоматично или при поискване. Обновяването при поискване се реализира като в избран от него момент потребителят отваря сайта на доставчика или изпълнява съответната функция на антивирусния програмен продукт, която зарежда и инсталира последните предоставени изменения. Автоматичното инсталиране на измененията в антивирусния софтуер става без непосредственото участие на потребителите и се осъществява като при стартиране на антивирусния софтуер в началото на деня, в предварително планирано време или по друг график автоматично се осъществява връзка със сайта на доставчика и се инсталират последните актуализации.

1.2 Защитни стени (firewalls)

Защитната стена е съвкупност от технически и програмни средства, чрез която се контролират мрежовият трафик и заявките за услуги. Често тя се определя като “система или група от системи, които налагат определена политика за контрол на достъпа между две мрежи. Нейното типично предназначение е да ограничи заплахата от неразрешен достъп до компютърни системи от корпоративната мрежа, която е свързана със слабоконтролирана глобална мрежа. Затова много често защитната стена функционира като част от шлюз (gateway), през който преминава и се регулира целият трафик между вътрешната мрежа и Интернет. Нейната цел е да елиминира от входящия и/или изходящия потоци тези пакети или заявки, които не отговарят на установените критерии за сигурност.

Решенията за пропускане или елиминиране на пакет или заявка през защитната стена обикновено се вземат в зависимост от IP-адреса на техния изпращач (получател), дестинацията (портът), от или към който те са изпратени, или според някаква комбинация от тези параметри. Конкретните правила за управление на трафика се дефинират от мрежовите администратори.

Наред с блокирането на входящия и изходящия трафик защитната стена осъществява скриване на информация за вътрешната мрежа – замества вътрешните IP-адреси на работните станции със собствения си адрес, предефинира номерата на използваните портове и др. Целта на тези трансформации е да се намали рискът от използване на подобна системна информация за осъществяване на атаки срещу сигурността. Защитната стена традиционно поддържа системни дневници (logs), в които регистрира информация за възникналите събития, свързани, например, с отхвърляне на конкретни пакети или заявки. Тази съхранена служебна информация може да се използва, например, при последващи одити на информационната сигурност.

Функциите на защитната стена могат да се изпълняват от софтуер, инсталиран върху работни станции или автономни компютри (персонална защитна стена), или от специализирано устройство, предназначено да защитава група от компютри (мрежова защитна стена).

Най-простата защитна стена се състои от филтриращ маршрутизатор, който отстранява пакети, пристигащи от недопустими възли или желаещи връзка с неразрешени портове. В по-сложните реализации, чрез добавяне на т.нар. филтри на съдържание (content filters), тя е в състояние да анализира и съдържанието на постъпващите заявки и да пренасочи някои от тях към сървърите на съответните услуги. По такъв начин защитната стена обслужва по-адекватно разнородната обменяна информация и реализира по-гъвкави методи за филтриране. Не е достатъчно, например, да се разреши или забрани използването от потребителите на корпоративната мрежа на електронна поща, тъй като в някои от съобщенията под формата на стандартно прикачени файлове може да се намира вредителски код. Подходящи филтри на съдържание могат да проверят тези файлове преди да позволят тяхното получаване и отваряне от потребителите.

Други компоненти, представляващи допълнения към защитната стена, забраняват достъп на потребителите до неподходящо съдържание, постъпващо от външен за корпоративната мрежа източник (най-често от Интернет). Те се наричат WEB blockers и прилагат за блокиране на съдържанието критерии като тип на файла (не се допуска проникване в мрежата на файлове от определени типове, например, изпълними програми, в които може да се съдържа вредителски код), размер на файла (едновременното получаване на множество съобщения с голям размер може да предизвика значително забавяне на съответната услуга за потребителите и да е елемент от атака за отказ от обслужване), наличие на нецензурни думи и изрази, адреси на WEB стайтове, до които потребителите не могат да получават достъп, и т.н.

1.3 Защита на електронната поща

Електронната поща предоставя добри потенциални възможности на нарушителите за изпращане на нежелани съобщения, разпространение на вредителски код и осъществяване на други заплахи за информационната сигурност. Наличието на такива рискове, както и масовата достъпност на тази услуга в организациите, налага да се реализират допълнителни контроли за нейната защита.

В редица държави съществуват нормативни регулации и забрани за разпространение на нежелани от получателите електронни съобщения. Тези правни норми задължават изпращачите на търговски и рекламни съобщения да ги обозначат явно по начин, показващ незабавно на получателя тяхното естество. В такива съобщения трябва да се съдържа реалният адрес на техния подател, както и да се предостави възможност на получателя удобно да се откаже от по-нататъшно получаване на електронна поща от този източник. Законодателството забранява включването в съобщения на заблуждаваща информация, поставянето на фалшив адрес на изпращача и използването на компютри на трети лица за разпространение на нежелана поща като предвижда за нарушителите значителни глоби и дори наказателно преследване.

Тъй като правната регулация обикновено не гарантира достатъчна степен на защита, системите за електронна поща предлагат и допълнителни средства за противодействие на нежеланите съобщения и на други заплахи за информационната сигурност. Тяхното действие се основава на различни техники зафилтриране на съдържанието, които търсят в съобщението срещане на конкретни думи, фрази или сигнатури. Ако в него бъдат открити съответните образци, то може да се приеме с достатъчно висока степен на вероятност, че става въпрос за нежелана поща, че входящото съобщение съдържа вредителски код или че се осъществява някаква друга заплаха за информационната сигурност.

Филтрирането на съдържанието на електронната поща може да противодейства на следните заплахи за сигурността:

o получаване на нежелани електронни съобщения (spam);

o проникване чрез електронната поща на компютърни вируси и други форми на вредителски код;

o разпространение на съобщения с нецензурно и оскърбително съдържание на расова, верска, сексуална или друга основа;

o целенасочено или случайно изтичане на поверителна информация и загуба на интелектуална собственост чрез съобщения, напускащи сферата на контрол на организацията;

o съзнателно или несъзнателно разкриване на лични данни за служителите на организацията, чието разпространение е нормативно ограничено.

Филтрирането на съдържание се осъществява като в тялото на съобщението се търсят определени думи или фрази, за които се счита, че са индикатор за нежелана поща, вредителски код или други от посочените по-горе заплахи. Търсените думи и фрази се съхраняват в достъпни за средствата за филтриране речници.

Доколкото едни и същи думи и фрази могат да се използват с различен смисъл в различен контекст, определянето на дадено съобщение като представляващо заплаха единствено поради това, че в него се съдържат такива словосъчетания, носи опасност от „фалшиви сигнали” – технологията определя съобщението като неприемливо, макар че в действителност то не е такова. Относителният дял на фалшивите сигнали в значителна степен определя качеството на конкретен инструмент за филтриране на съдържание.

За да се избегнат фалшивите сигнали, в по-развитите средства за филтриране на съдържание всяка от търсените недопустими думи, фрази и сигнатури се съчетава с тегло, изразяващо степента на съответната заплаха. Когато се сканира дадено съобщение и в него се установи срещане на някои от неприемливите думи и фрази, чрез техните тегла се формира обща оценка за цялостното ниво на заплаха. Тя трябва да надвишава някакво зададено минимално ниво на опасност, за да се определи цялото съобщение като носещо заплаха. Недостатък на този подход е възможността средствата за филтриране на съдържанието да приемат за безопасни съобщения, които в действителност съдържат заплахи. Относителният дял на такива пропуски е друг важен критерий за качеството на инструментите за филтриране на съдържание.

В резултат от извършваното сканиране на съдържанието, средствата за защита на електронната поща могат:

o да разрешат постъпване във входящата или напускане на изходящата пощенски кутии;

o да изтрият автоматично входящи или изходящи съобщения, които не съответстват на установените критерии за филтриране;

o да поставят под карантина в една или няколко папки съобщенията, нарушаващи дефинираните правила за безопасност. Така те остават достъпни за разглеждане от крайните потребители или от системните администратори и се смекчават негативните последствия от появата на фалшиви сигнали.

Освен филтриране на съдържание, средствата за защита на електронната поща могат да прилагат и някои други техники:

• · поддържане на списъци със забранени и разрешени електронни адреси. Списъкът със забранени адреси (blacklist) съдържа адреси на източници, за които вече е доказано, че изпращат нежелана поща, разпространяват вредителски код или носят други заплахи за информационната сигурност. Средствата за защита автоматично отстраняват съобщения, постъпващи от забранени адреси, без да се анализира тяхното съдържание. В зависимост от политиката на организацията, може да се разреши получаване на електронна поща само от изпращачи, включени в списъка с разрешени адреси (whitelist). Прилагането на подобен силно рестриктивен подход ограничава значително рисковете от инциденти с информационната сигурност.
• · репутация на Интернет ресурси: средствата за защита на електронната поща автоматично блокират съобщения, които съдържат в себе си връзки към сайтове с лоша репутация (разпространители на нежелана поща, вредителски код, подвеждащо съдържание).

1.4 Системи за откриване на прониквания (intrusion detection systems, IDS)

Системите за откриване на прониквания представляват средства за контрол (мониторинг) на информационната сигурност, които осъществяват непрекъснато събиране и проверка на данни за извършваните действия в корпоративната мрежа. При откриване на нарушения или подозрителни активности, софтуерът може да сигнализира системния администратор, както и автоматично да предприеме реагиращи действия – блокиране на връзки и услуги, изолация на засегнати системи и т.н.

Откриването на прониквания се основава главно на две технологии – откриване на аномалии и разпознаване на образци. Откриването на аномалии използва шаблони за “нормално” поведение на мрежи, възли и потребители, за да установи значителни различия спрямо тях в конкретна ситуация. Конструирането на шаблони често се предшества от събиране и статистически анализ на факти за обичайното поведение на потребители и процеси. Разпознаването на образци се основава на дефиниране на шаблони, които показват, че системата се намира под атака срещу сигурността. В много случаи тези инструменти се реализират като допълнения към инсталираните защитни стени като освен филтриране на трафика позволяват и натрупване на служебна информация за източника на опитите за проникване, за атакуваните портове и т.н.

Бизнес начала при проектиране на информацион-на сигурност

1 Бизнес начала при проектиране на информацион-на сигурност

При изграждане на система за информационна сигурност на Информационна система трябва да се вземат предвид следните вътрешни и външни бизнес начала:

• Стойност на активите на организацията – колко струват ИКТ активите на самата форма / организация, които ще се защитават чрез информационната сигурност. Самата система за информационна сигурност трябва да струва част от стойността на тези активи. В тези активи се включва и загубата на час при неработеща система (например в света съществуват банкови системи, които един час неработене струва милиони лева).
• Законови норми – системата за сигурност трябва да отговаря за национални и европейски законови регулации (ако съответната институция за която се създава информационната сигурност желае да има съответно европейско реноме).
• Време за излизане на пазара (time to market) – една сложна система за информационна сигурност може да забави излизането на пазара на цялата институция или на отделни нейни продукти. Затова прилагането на информационната сигурност на етапи с оценка на съответния риск е един често приемлив подход.
• Простота на работа – колкото една система за информационна сигурност е по-проста, толкова по-лесно се откриват евентуални злонамерени прониквания и създадени проблеми. Един вид простота на работа се постига при изграждане на системата за информационна сигурност от устройства и софтуерни инструменти на един доставчик, но това в много случаи е практически невъзможно. Ако системата за информационна сигурност се проектира с интегрирано цялостно управление за наблюдение и контрол, то тогава работата с нея се свежда до по-прости процедури, което опростява нейната експлоатация, но пък завишава цената й.
• Толерантност към риска – понеже не съществува система за информационна сигурност гарантираща 100% сигурност, то винаги в една информационна система съществува определен риск от гледна точка на сигурност. Нивото на сигурност трябва да бъде прието от бизнес ръководството на институцията, риска трябва да е добре оценен, и да се създадат съответни мерки за борба с него, включително и сключване на застрахователни полици.
• Критични бизнес процеси – информационната сигурност обикновено не обхваща всички бизнес процеси в една институция, защото нейната цена би било много висока. По тази причина трябва да се подберат критичните бизнес процеси, за които да се изгради информационна сигурност. Критичността обикновено се определя от множество параметри, такива като загуба в пари при неработещ процес за единица време, поддържане на основи продукти / услуги с които институцията се идентифицира на пазара, процеси с голяма важност за преобладаващата част от клиентите / потребителите и пр.
• Защита визията на организацията – информационната сигурност трябва да осигури висока степен на работоспособност на информационната система на организацията, с която да се защити името, визията и търговското име на самата организация;
• Налична информационна сигурност при конкурентите – един от отличителните показатели за конкурентоспособност е наличието на информационна сигурност на информационната система. Понеже всички съвременни фирми и организации не могат да работят без информационна система, то нейната информационна сигурност е показател за качество на функциониране на самата фирма / организация. Наличието на определени функции на информационната сигурност на информационната система на една фирма, които другите конкуренти нямат, я прави със сериозни предимства пред другите й конкуренти.

                                   Проектиране на информационна сигурност

• 1 Проектиране на информационна сигурност
• Проектирането на информационната сигурност на една информационна система представлява създаването на всичките компоненти на информационната й сигурност. Тези компоненти не са само технически компоненти, те са взаимосвързана съвкупност от бизнес и технически компоненти.
• Проектирането на информационната сигурност може да протече на два етапа:
• · Концептуално проектиране;
• · Детайлно проектиране.
• Двата етапа на проектиране може да се представят графически от фигура 11.14.
• Фиг.11.14
• Предложеното проектиране представлява проектиране отгоре-надолу. Това означава, че проектирането започва със създаването на стратегия за сигурност. Стратегията за сигурност представлява определяне нивото на сигурност което трябва да осигурява информационната система, както и план във времето за намаляване на риска в информационната система, водещ до по-високо ниво на сигурност. Няма информационна система която да е 100% сигурна, но пък всяко високо ниво на сигурност изисква сериозни финанси за неговото постигане. Затова бизнес управлението на организацията трябва да избере ниво на сигурност, което да може да се постигне с бюджета на организацията. Обикновено стратегията за сигурност се създава от висшето ръководство на организацията. Тази стратегия се създава в резултат от балансиран компромис между „Висока сигурност”, „Предимства пред конкуренти”, „Надежност на работа”, „Излизане бързо на пазара” и „Цена на информационната сигурност”.
• След създаването на стратегията, трябва да се пристъпи към полисите за сигурност. Полисите за сигурност имат за цел да представят в ясен вид на човешки език позицията на ръководството на организацията по отношение на информационната сигурност. Това представляват принципите за извършване на информационната сигурност представени на високо ниво. Полисите представляват мост между стратегията и начините за реализиране на стратегията, но изразени на човешки, а не технически език. Полисите се представят под формата на формални правила, които представят как стратегията ще се сведе до отделните компоненти на информационната система, за да се осигурят изискванията на стратегията. Правилата в полисите трябва да бъдат на ясен и разбираем човешки език, свързани както с компонентите на информационната система, така и с процедури, които трябва да изпълняват отделни участници от организацията, за да се осъществи нужното ниво на информационна сигурност. Полисите за сигурност дефинират общите правила за осъществуване на информационната сигурност и управлението на риска. Полисите за сигурност трябва да се прилагат чрез определени ИКТ инструменти на информационната система (например чрез конфигурации и реализации на защитни стени, рутери, имейл сървъри и пр) и чрез писани процедури за определени лица от арганизацията (например какво да напряват хората от даден отдел при настъпване на определена заплаха за информационната сигурност). Полисите за сигурност обикновено се обявяват в уеб сайта на организация, като се определя кой ги е подписал, кога са подписани, кой извършва одитирането им, кога е било последното одитиране, и кога се предвижда да бъде следващото одитиране).
• Прилагането на полисите за сигурност трябва да става в съответствие с определени международни стандарти, или в съответствие с международно утвърдени добри практики. Съществуват няколко международни стандарта, които са свързани с информационната сигурност, сред които най-важните са стандартите от фамилията ISO2700, които се разглеждат по-долу. Международните утвърдени добри практики представляват или индустриално утвърдени практики, такива като ITIL (IT Infrastructure Library – колекция от специализирани методологически принципи, синтезирани от най-добрите световни практики, с цел оптимизиране на процесите по ИТ услугите. Това е набор от правила, независими от производителите, описващи систематичен подход към изпълнение и управление на ИТ услугите. Тези правила съответстват напълно на изискванията на стандарта ISO 9000, като ITIL постепенно преминава в международен стандарт ISO 2000), или такива разработени от големи международни фирми в областта на ИКТ.
• След като приключи концептуалното проектиране на информационната сигурност (Стратегия за сигурност, Полиси за сигурност и избор на Международни стандарти / Добри практики за прилагане на информационната сигурност), се преминава към детайлното проектиране. При детайлното проектиране се цели да се проектират бизнес процесите, които да отговарят на международните стандарти или доблите практики, чрез които да се изпълняват полисите за сигурност. Бизнес процесите за информационна сигурност представляват или самостоятелни бизнес процеси, или модифицирани бизнес процеси, в които се добавят и елементи свързани с осигуряване на съответните функции на информационната сигурност. След като се проектират Бизнес процесите за информационна сигурност, се преминава към проектиране на ИТ процесите за сигурност. Тези ИТ процеси за информационна сигурност представляват както конкретни ИКТ решения осъществяващи дадено полиси по сигурност (например какво фиртриране на IP пакети да се извършва), както и процедури, как да се осъществява прилагането, оперирането и управлението на ИКТ решенията.

Стандарт ISO27000 – основа за проектиране на информационната сигурност

1 Стандарт ISO27000 – основа за проектиране на информационната сигурност

За това кака да се изграждат информационните системи за да притежават съответната сигурност бе създаден документ за ръководство, който прерасна в първия стандарт на Англия – BS7799. В годините той претърпя редица изменения, стана международен стандарт – ISO17799, а се съществува система от международни стандарти по информационна сигурност под номерацията ISO/IEC 27000. Целта на стандартите е да предостави модел за създаването, изпълнението, управлението, мониторинга, преоценка, поддържане и подобряване на информационно управление на сигурността на информационна система. Същевременно този стандарт се използва все повече за сертифициране на организации от гледна точка на процедури и процеси за осигуряване на информационната сигурност. Такова специфично използване на стандарта става все по-необходимо за репутацията на една организация, тъй като информационната сигурност на организация вече не чисто ИКТ работа, а ниво на функциониране на цялата организация. В текста по-долу ще се обърне внимание само на частта – как да се прилагат стандартите от групата ISO 27000 за проектиране на информационна сигурност в информационните системи на организации.

Стандартите ISO 27000 предлагат добри практики и препоръки за информационната сигурност, управление на риска и контрол в контекста на цялостното управление на информационната сигурност. Тези стандарти дават насоки за изграждане на информационната сигурност, като за дадена информационна система нивото на прилагане на едно или друго ИКТ решение зависи от бизнес решението каква сигурност е необходима. Препоръчват се 11 ръководни начала да се обсъдят при изграждане на информационната сигурност:

a) Планиране непрекъсваемостта на бизнеса – Business continuity planning (за критичните бизнес процеси);

b) Управление на достъпа – System access control (да управлява достъпа до мрежи, компютри, приложни системи, процеси);

c) Управление при проектиране и поддържане – System development and maintenance (да осигури вграждането на сигурността в системите които се изпълняват, да предпази от загуба на данни, да осигури автентикация , конфиденциалност и интегрираност на данните);

d) Управление на защитните инциденти;

e) Физическа сигурност – Physical and environmental security (да предпази от неразрешен достъп и загуби от влияния в бизнес помещенията, да предотврати прекъсване на бизнес процесите и предотврати крадене на устройства и информация);

f) Управление на съответствието – Compliance (да предпази от нарушение на закони, норми и правила, както и изисквания за сигурност);

g) Защита породена от служителите – Personnel security (да предотврати от човешки грешки, кражби, измама, неправилно използване на системите, да осигури запознаване с правилата на информационна сигурност на организацията и на работното място, да намали загубите при инциденти);

h) Защита на организацията – Security organization (да осигури управление на информационната сигурност на организацията в съответствие с отговорността);

i) Защита на компютрите и мрежите – Computer and network management (за коректно и защитно опериране, интегрираност и наличност на информация и системи);

j) Класификация и управление на активите – Asset classification and control (да защити активите чрез определяне нива на защита);

k) Полиси на сигурност – Security Policy.

Използването на стандартите от групата ISO 27000 имат за цел да насочат проектантите на информационни системи, къде да обърнат внимание – в кои части на информационната система и нейното изпълнение, за да има високо ниво на сигурност. Тези стандарти не предлагат определени ИКТ решения, но те насочват проектанта какви съображения да има предвид и как да оцени съответните съоражения, за да установи какви ИКТ решения би избрал, за да се реализират полисите на сигурност. В тези стандарти има е части, които не са свързани с конкретните ИКТ решения на информационната система, но със средата в която трябва да работи информационната система, например ръководните начала за физическа сигурност или създаването на съответни полиси за сигурност. Това е направено от съображения, че сигурността на информационната система зависи и от други фактори, които не са само ИКТ решения.

Семейството на ISO 27000 международните стандарти включва следните по-основни от тях:

• ISO / IEC 27000 – въведение към семейството от стандарти, плюс речник на общи условия;
• ISO / IEC 27001 – стандарт за създаване, изпълнение, проверка и подобряване на сигурността на информационната система;
• · ISO/IEC 27002 – code of practice providing good practice advice on ISMS (previously known as ISO/IEC 17799 itself based on British Standard BS 7799 Part 1, last revised in 2005 and renumbered ISO/IEC 27002:2005 in July 2007).ISO / IEC 27002 – съвкупност от препоръчителни добри практики;
• · ISO/IEC 27005 – designed to assist the satisfactory implementation of information security based on a risk management approach (published in 2008).ISO / IEC 27003 – предстоящ за публикуване стандарт свързан с пълно ръководство за изграждане на информационна сигурност в информационни системи;
• · ISO / IEC 27004 – предстоящ за публикуване стандарт за управление на информационната сигурност с прилагане на измерители;
• · ISO / IEC 27005 – подпомагащ прилагането на информационната сигурност, основано на подход за управление на риска;
• · ISO/IEC 27006 – a guide to the certification/registration process (published in 2007).ISO / IEC 27006 – ръководство за заверка / регистрация на процеса свързан с изграждане на информационната сигурност;
• · ISO/IEC 27011 – information security management guidelines for the telecommunications industry (published by ISO/IEC in 2008 and also published by the ITU as X.1051).ISO / IEC 27007 – определящ как да се извършва одит на информационната сигурност (с акцент върху системата за управление);
• · ISO / IEC 27011 – определящ насоки за управление на информационната сигурност за телекомуникационна индустрия (публикувани от ISO / IEC през 2008 г. и публикувани от ITU, както X.1051);
• · ISO/IEC 27004 – a standard for information security management measurements – publication expected by the end of 2009 or early 2010ISO/IEC 27007 – a guideline for ISMS auditing (focusing on the management system)ISO/IEC 27008 – a guideline for Information Security Management auditing (focusing on the security controls)ISO/IEC 27013 – a guideline on the integrated implementation of ISO/IEC 20000-1 and ISO/IEC 27001ISO / IEC 27013 – ориентир за интегрирано прилагане на ISO / IEC 20000-1 и ISO / IEC 27001;
• · ISO/IEC 27014 – an information security governance framework ISO / IEC 27014 – за създаване на рамка за управление на информационна сигурност;
• · ISO / IEC 2715 – за създаване на насоки за изграждане на информационна сигурност на информационни системи на организации във финансовата и застрахователна дейности