Криптографическая защита - Основы информационной и компьютерной безопасности
Криптография - область знаний, изучающая тайнопись (криптография) и методы ее раскрытия (криптоанализ). Криптография считается разделом математики.
Криптография, в отличие от мер физической защиты, обладает тем уникальным свойством, что при правильном выборе метода затраты на обеспечение защиты информации много меньше затрат на преодоление этой защиты.
Цель криптографической системы заключается в том, чтобы зашифровать осмысленный исходный текст (также называемый открытым текстом), получив в результате совершенно бессмысленный на взгляд шифрованный текст (шифртекст, криптограмма). Получатель, которому он предназначен, должен быть способен расшифровать (говорят также "дешифровать") этот шифртекст, восстановив, таким образом, соответствующий ему открытый текст. При этом противник (называемый также криптоаналитиком) должен быть неспособен раскрыть исходный текст. Существует важное отличие между расшифрованием (дешифрованием) и раскрытием шифртекста.
Раскрытием криптосистемы называется результат работы криптоаналитика, приводящий к возможности эффективного раскрытия любого, зашифрованного с помощью данной криптосистемы, открытого текста. Степень неспособности криптосистемы к раскрытию называется ее стойкостью. Вопрос надежности систем ЗИ - очень сложный. Дело в том, что не существует надежных тестов, позволяющих убедиться в том, что информация защищена достаточно надежно. Во-первых, криптография обладает той особенностью, что на "вскрытие" шифра зачастую нужно затратить на несколько порядков больше средств, чем на его создание. Следовательно, тестовые испытания системы криптозащиты не всегда возможны. Во-вторых, многократные неудачные попытки преодоления защиты вовсе не означают, что следующая попытка не окажется успешной. Не исключен случай, когда профессионалы долго, но безуспешно бились над шифром, а некий новичок применил нестандартный подход - и шифр дался ему легко. В результате такой плохой доказуемости надежности средств ЗИ на рынке очень много продуктов, о надежности которых невозможно достоверно судить. Естественно, их разработчики расхваливают на все лады свое произведение, но доказать его качество не могут, а часто это и невозможно в принципе. Как правило, недоказуемость надежности сопровождается еще и тем, что алгоритм шифрования держится в секрете. На первый взгляд, секретность алгоритма служит дополнительному обеспечению надежности шифра. Это аргумент, рассчитанный на дилетантов. На самом деле, если алгоритм известен разработчикам, он уже не может считаться секретным, если только пользователь и разработчик - не одно лицо. К тому же, если вследствие некомпетентности или ошибок разработчика алгоритм оказался нестойким, его секретность не позволит проверить его независимым экспертам. Нестойкость алгоритма обнаружится только тогда, когда он будет уже взломан, а то и вообще не обнаружится, ибо противник не спешит хвастаться своими успехами.
Поэтому криптограф должен руководствоваться правилом, впервые сформулированным голландцем Керкхоффом: стойкость шифра должна определяться только секретностью ключа. Иными словами, правило Керкхоффа состоит в том, что весь механизм шифрования, кроме значения секретного ключа априори считается известным противнику.
Все методы шифровки можно разделить на две группы: шифры с секретным ключом и шифры с открытым ключом.
Первые характеризуются наличием некоторой информации (секретного ключа), обладание которой дает возможность как шифровать, так и расшифровывать сообщения. Поэтому они именуются также одноключевыми. Шифры с открытым ключом подразумевают наличие двух ключей - открытого и закрытого; один используется для шифровки, другой для расшифровки сообщений. Эти шифры называют также двухключевыми. Этот тип шифров подразумевает наличие некой информации (ключа), обладание которой позволяет как зашифровать, так и расшифровать сообщение. С одной стороны, такая схема имеет те недостатки, что необходимо кроме открытого канала для передачи шифрограммы наличие также секретного канала для передачи ключа, а кроме того, при утечке информации о ключе, невозможно доказать, от кого из двух корреспондентов произошла утечка. С другой стороны, среди шифров именно этой группы есть единственная в мире схема шифровки, обладающая абсолютной теоретической стойкостью. Все прочие можно расшифровать хотя бы в принципе. Такой схемой является обычная шифровка (например, операцией XOR) с ключом, длина которого равна длине сообщения. При этом ключ должен использоваться только раз. Любые попытки расшифровать такое сообщение бесполезны, даже если имеется априорная информация о тексте сообщения. Осуществляя подбор ключа, можно получить в результате любое сообщение.
Шифры с открытым ключом подразумевают наличие двух ключей - открытого и закрытого; один используется для шифровки, другой для расшифровки сообщений. Открытый ключ публикуется - доводится до сведения всех желающих, секретный же ключ хранится у его владельца и является залогом секретности сообщений. Суть метода в том, что зашифрованное при помощи секретного ключа может быть расшифровано лишь при помощи открытого и наоборот. Ключи эти генерируются парами и имеют однозначное соответствие друг другу. Причем из одного ключа невозможно вычислить другой. Характерной особенностью шифров этого типа, выгодно отличающих их от шифров с секретным ключом, является то, что секретный ключ здесь известен лишь одному человеку, в то время как в первой схеме он должен быть известен по крайней мере двоим. Это дает такие преимущества:
Не требуется защищенный канал для пересылки секретного ключа, вся связь осуществляется по открытому каналу;
"что знают двое, знает свинья" - наличие единственной копии ключа уменьшает возможности его утраты и позволяет установить четкую персональную ответственность за сохранение тайны;
Наличие двух ключей позволяет использовать данную шифровальную систему в двух режимах - секретная связь и цифровая подпись.
Все государства уделяют пристальное внимание вопросам криптографии. Наблюдаются постоянные попытки наложить некие рамки, запреты и прочие ограничения на производство, использование и экспорт криптографических средств. Например, в России лицензируется ввоз и вывоз средств защиты информации, в частности, криптографических средств, согласно Указу Президента Российской Федерации от 3 апреля 1995 г. N 334 и постановлению Правительства Российской Федерации от 15 апреля 1994 г. N 331.
Криптографическая защита относительно дешева, а средства ее преодоления либо очень дороги, либо вообще не существуют. Криптосистема не может считаться надежной, если не известен полностью алгоритм ее работы. Только зная алгоритм, можно проверить, устойчива ли защита. Однако проверить это может лишь специалист, да и то зачастую такая проверка настолько сложна, что бывает экономически нецелесообразна. Чтобы продавать средства информационной защиты, сертификация необходима. Такие положения действуют в России и в большинстве стран.
У нас единственным органом, уполномоченным проводить сертификацию, является Федеральное агентство правительственной связи и информации при Президенте Российской Федерации (ФАПСИ). Орган этот подходит к вопросам сертификации очень тщательно. Совсем мало разработок сторонних фирм смогли получить сертификат ФАПСИ. Иногда можно наблюдать такую картину. Фирма торгует неким программным, программно аппаратным комплексом или техническим решением, при этом гордо заявляет: "Продукция имеет сертификат ФСБ, Минсвязи, Госсвязьнадзора и т. п." Надо сознавать, что документы эти юридически ничтожны. ФСБ уполномочена лишь создавать и эксплуатировать без лицензирования средства криптозащиты (ст.20 ФЗ "Об органах федеральной службы безопасности в Российской Федерации"; п.8 Положения о Федеральной службе безопасности Российской Федерации, утв. Указом Президента РФ от 6 июля 1998 г. N 806). Также право на создание и эксплуатацию криптографических средств предоставлено Федеральной службе охраны (ст.30 ФЗ "О государственной охране"). А вот Службе внешней разведки в праве разрабатывать криптосредства отказано (ст.6 ФЗ "О внешней разведке"). Порядок сертификации установлен Положением о сертификации средств защиты информации (утв. постановлением Правительства РФ от 26 июня 1995 г. N 608).
Кроме того, ФАПСИ лицензирует деятельность предприятий, связанную с разработкой, производством, реализацией и эксплуатацией шифровальных средств, а также защищенных технических средств хранения, обработки и передачи информации, предоставлением услуг в области шифрования информации (Указ Президента РФ от 03.04.95 N 334 "О мерах по соблюдению законности в области разработки производства, реализации и эксплуатации шифровальных средств, а также предоставления услуг в области шифрования информации"; а также Закон РФ "О федеральных органах правительственной связи и информации"). Для сертификации необходимым условием является соблюдение стандартов при разработке систем защиты информации. Стандарты выполняют сходную функцию. Они позволяют, не проводя сложных, дорогостоящих и даже не всегда возможных исследований, получить уверенность, что данный алгоритм обеспечивает защиту достаточной степени надежности.
Похожие статьи
-
Механизмы обеспечения безопасности, Криптография - Защита информации в компьютерных сетях
Криптография Для обеспечения секретности применяется шифрование, или криптография, позволяющая трансформировать данные в зашифрованную форму, из которой...
-
Криптографические средства защиты - Инженерно-техническая защита объектов
Криптография как средство защиты (закрытия) информации приобретает все более важное значение в мире коммерческой деятельности. Криптография имеет...
-
Защита информации - Основы информационной и компьютерной безопасности
Под объектом защиты понимают любую структуру частных, общественных, государственных, и коммерческих организаций, содержащих информацию, которая имеет...
-
Законодательные средства - законы и другие нормативно-правовые акты, с помощью которых регламентируются правила использования, обработки и передачи...
-
1.1 Физические средства-различные устройства и системы механического, электрического либо электронного плана, деятельность которых не зависит от...
-
Информация с точки зрения информационной безопасности обладает следующими категориями: * конфиденциальность -- гарантия того, что конкретная информация...
-
Самым правильным шагом в этом направлении будет приглашение специалиста по информационной безопасности, который вместе с вами постарается решить весь...
-
Антивирусные программы и вирусная защита - Основы информационной и компьютерной безопасности
Вряд ли во всем мире найдется хоть один компьютер, который не получал бы время от времени данные из "внешнего мира": из интернета, по электронной почте,...
-
К программным методам защиты в сети Internet можно отнести прежде всего защищенные криптопротоколы, с использованием которых появляется возможность...
-
Основы информационной безопасности
Введение Курс с названием "Основы информационной безопасности" (Information Security) входит в целый ряд государственных образовательных стандартов по...
-
При рассмотрении вопросов защиты АС целесообразно использовать четырехуровневую градацию доступа к хранимой, обрабатываемой и защищаемой АС информации....
-
Понятие и задачи информационной безопасности - Информационная безопасность на предприятии
Перед описанием стандартов информационной безопасности следует сначала определить: что же такое информационная безопасность. Данное понятие можно...
-
Криптография, аутентификация - Анализ средств защиты информации в ЛВС
Проблемой защиты информации путем ее преобразования занимается криптология (kryptos - тайный, logos - наука). Криптология разделяется на два направления...
-
Что защищать на предприятии Система федерального законодательства включает себя огромное количество актов, относительно различных видов тайн. В данной...
-
Комплексный подход к обеспечению информационной безопасности, Основные понятия - Защита информации
Основные понятия Под информацией, применительно к задаче ее защиты понимается сведения о лицах, предметах, фактах, событиях явлениях и процессах...
-
Введение - Обеспечение информационной безопасности на предприятии
Данная статья посвящена важности информационной системы и необходимости ее защиты. В ней говориться о различных средствах и методах, помогающих...
-
В процессе развития нашего общества информация, особенно экономическая, играет особую роль. Желание преуспеть заставляет людей соревноваться, соперничать...
-
Системы с открытым ключом - Защита информации
Как бы ни были сложны и надежны криптографические системы - их слабое мест при практической реализации - проблема распределения ключей. Для того, чтобы...
-
Обследование проводилось с целью сбора сведений об информационных системах персональных данных НАО "Вальмонт индастрис" для последующего проведения...
-
Основы безопасности - Основы информационной и компьютерной безопасности
На сегодняшний день вопрос о компьютерной безопасности возникает особо часто. Этот вопрос гораздо более серьезен, чем может показаться несведущему...
-
Для компьютерного оборудования и данных (информации) существуют три основные угрозы: Физическое воровство, которое включает подключение к различным...
-
В данной главе приводится описание различных криптографических алгоритмов для безопасной передачи данных в приложении. RSA Для того, чтобы избежать...
-
Правил по техники безопасности и гигиенические рекомендации при использовании средств ИКТ в ДОУ и профессиональной деятельности На сегодняшний день для...
-
Физическая защита Безопасность информационной системы зависит от окружения, в котором она функционирует. Необходимо принять меры для защиты зданий и...
-
Основные термины теории баз данных - БД (База данных) - совокупность специальным образом организованных данных, хранимых в памяти вычислительной системы...
-
Заключение - Обеспечение информационной безопасности в сети Internet
Исходно сеть создавалась как незащищенная открытая система, предназначенная для информационного общения все возрастающего числа пользователей. При этом...
-
Правовое аспекты - Организационно-правовое обеспечение информационной безопасности
В развитых странах мира, в том числе и в Российской Федерации, электронная цифровая подпись широко используется в гражданском обороте. Различные банки...
-
Учебный процесс в ННГАСУ сопровождается значительной информационной базой, развитием компьютерного парка и внедрением в образовательный процесс...
-
Введение - Основные понятия политики информационной безопасности
Говоря об информационной безопасности, в настоящее время имеют в виду, собственно говоря, безопасность компьютерную. Действительно, информация,...
-
Аудит безопасности - Информационная безопасность на предприятии
Так как практической частью данного диплома является практическое применение стандарта ISO 27001, который описывает рекомендации к системе управления...
-
Средство защиты информации - Информационные потоки и способы их хранения
При использовании любой информационной технологии следует обращать внимание на наличие средств защиты данных, программ, компьютерных систем. Безопасность...
-
В данной главе будет произведен анализ требований менеджмента информационной безопасности на основе стандартов ISO 27001 и 27002 для российских...
-
Основные требования к комплексной системе защиты информ: Разработка на основе положений и требований существующих законов, стандартов и нормативно -...
-
Тенденции российского рынка - Рынок информационной безопасности России
В России, как и во всем мире, наметилось смещение информационных угроз в сторону использования фишинга и руткитов в комплексе с другими технологиями. Все...
-
Введение - Основы информационной и компьютерной безопасности
Большинство бизнесменов, использующих в целях предпринимательства компьютерные технологии и Интернет, в настоящее время осознали значимость разрешения...
-
Разработка политики безопасности организации - Основные понятия политики информационной безопасности
Разработка политики безопасности ведется для конкретных условий функционирования информационной системы. Как правило, речь идет о политике безопасности...
-
Выводы по презентации - Обеспечение информационной безопасности в сети Internet
Итак, можно привести массу фактов, свидетельствующих о том, что угроза информационному ресурсу возрастает с каждым днем, подвергая в панику ответственных...
-
ИНФОРМАЦИОННОЕ ОБЕСПЕЧЕНИЕ База данных как основа информационного обеспечения В состав информационного, программного и математического обеспечения...
-
Меры и средства программно-технического уровня. В рамках современных ИС должны быть доступны, по крайней мере, следующие механизмы безопасности:...
-
Как отмечалось ранее, единственным базовым протоколом семейства TCP/IP, в котором изначально предусмотрена функция обеспечения безопасности соединения и...
Криптографическая защита - Основы информационной и компьютерной безопасности