Файл: Анализ технологий совершения компьютерных преступлений (Понятие компьютерных пре­ступлений).pdf

2. Шифрование.

Шифрование данных может осуществляться в режимах On-line (в темпе по­ступления информации) и Off-line (автономном). Остановимся подробнее на первом типе, представляющем большой интерес. Наиболее распространены два алгоритма.

Стандарт шифрования данных DES (Data Encryption Standart) был разрабо­тан фирмой IBM в начале 70-х годов и в настоящее время является правитель­ственным стандартом для шифрования цифровой информации. Он рекомендо­ван Ассоциацией Американских Банкиров. Сложный алгоритм DES использует ключ длиной 56 бит и 8 битов проверки на четность и требует от злоумышлен­ника перебора 72 квадрилионов возможных ключевых комбинаций, обеспечи­вая высокую степень защиты при небольших расходах. При частой смене клю­чей алгоритм удовлетворительно решает проблему превращения конфиденци­альной информации в недоступную.

Алгоритм RSA был изобретен Ривестом, Шамиром и Альдеманом в 1976 г. и представляет собой значительный шаг в криптографии. Этот алгоритм также был принят в качестве стандарта Национальным Бюро Стандартов.

DES технически является симметричным алгоритмом, a RSA — асиммет­ричным, то есть он использует разные ключи при шифровании и дешифрова­нии. Пользователи имеют два ключа и могут широко распространять свой от­крытый ключ. Открытый ключ используется для шифрования сообщения поль­зователем, но только определенный получатель может дешифровать его своим секретным ключом; открытый ключ бесполезен для дешифрования. Это делает ненужными секретные соглашения о передаче ключей между корреспондента­ми. DES определяет длину данных и ключа в битах, a RSA может быть реализо­ван при любой длине ключа. Чем длиннее ключ, тем выше уровень безопасно­сти (но становится длительнее и процесс шифрования и дешифрования). Если ключи DES можно сгенерировать за микросекунды, то примерное время гене­рации ключа RSA — десятки секунд. Поэтому открытые ключи RSA предпочи­тают разработчики программных средств, а секретные ключи DES — разработ­чики аппаратуры [8].

3. Физическая защита данных.

Кабельная система остается главной «ахилессовой пятой» большинства локальных вычислительных сетей: по данным различных исследований, именно кабельная система является причиной более чем половины всех отказов сети. В связи с этим кабельной системе должно уделяться особое внимание с самого момента проектирования сети.

Наилучшим образом избавить себя от «головной боли» по поводу непра­вильной прокладки кабеля является использование получивших широкое рас­пространение в последнее время так называемых структурированных кабель­ных систем, использующих одинаковые кабели для передачи данных в локаль­ной вычислительной сети, локальной телефонной сети, передачи видеоинфор­мации или сигналов от датчиков пожарной безопасности или охранных систем. К структурированным кабельным системам относятся, например, «SYSTIMAX SCS» фирмы «AT&T», «OPEN DECconnect» компании «Digital», кабельная сис­тема корпорации ЮМ.

Понятие «структурированность» означает, что кабельную систему здания можно разделить на несколько уровней в зависимости от назначения и место­расположения ее компонентов. Например, кабельная система «SYSTIMAX SCS» состоит из:

внешней подсистемы (campus subsystem);

аппаратных (equipment room);

административной подсистемы (administrative subsystem);

магистрали (backbone cabling);

горизонтальной подсистемы (horizontal subsystem);

рабочих мест (work location subsystem) [9].

Внешняя подсистема состоит из медного оптоволоконного кабеля, уст­ройств электрической защиты и заземления и связывает коммуникационную и обрабатывающую аппаратуру в здании (или комплексе зданий). Кроме того, в эту подсистему входят устройства сопряжения внешних кабельных линий и внутренних.

Аппаратные служат для размещения различного коммуникационного обо­рудования, предназначенного для обеспечения работы административной под­системы.

Административная подсистема предназначена для быстрого и легкого управления кабельной системы «SYSTIMAX SCS» при изменении планов раз­мещения персонала и отделов. В ее состав входят кабельная система (неэкрани-рованная витая пара и оптоволокно), устройства коммутации и сопряжения ма­гистрали и горизонтальной подсистемы, соединительные шнуры, маркировоч­ные средства и т. д.

Магистраль состоит из медного кабеля или комбинации медного и оптово­локонного кабеля и вспомогательного оборудования. Она связывает между со­бой этажи здания или большие площади одного и того же этажа.

Горизонтальная система на базе витого медного кабеля расширяет основ­ную магистраль от входных точек административной системы этажа к розеткам на рабочем месте. И, наконец, оборудование рабочих мест включает в себя соединительные шнуры, адаптеры, устройства сопряжения и обеспечивает механическое и элек­трическое соединение между оборудованием рабочего места и горизонтальной кабельной подсистемы.

Системы электроснабжения. Наиболее надежным средством предотвра­щения потерь информации при кратковременном отключении электроэнергии в настоящее время является установка источников бесперебойного питания. По­добные устройства, различные по своим техническим и потребительским ха­рактеристикам, могут обеспечить питание всей локальной сети или отдельной компьютера в течение промежутка времени, достаточного для восстановления подачи напряжения или для сохранения информации на магнитные носители. Большинство источников бесперебойного питания одновременно выполняет функции и стабилизатора напряжения, что является дополнительной защитой от скачков напряжения в сети. Многие современные сетевые устройства (серве­ры, концентраторы, мосты и т. д.) оснащены собственными дублированными системами электропитания.

За рубежом корпорации имеют собственные аварийные электрогенераторы или резервные линии электропитания. Эти линии подключены к разным под­станциям, и при выходе из строя одной из них электроснабжение осуществля­ется с резервной подстанции.

Системы архивирования и дублирования информации.

Организация надежной и эффективной системы архивации данных является одной из важнейших задач по обеспечению сохранности информации в сети. В небольших сетях, где установлены один-два сервера, чаще всего применяется установка системы архивации непосредственно в свободные слоты серверов. В крупных корпоративных сетях наиболее предпочтительно организовать выде­ленный специализированный архивационный сервер.

Хранение архивной информации, представляющей особую ценность, долж­но быть организовано в специальном охраняемом помещении. Специалисты ре­комендуют хранить дубликаты архивов наиболее ценных данных в другом зда­нии, на случай пожара или стихийного бедствия.

4. Защита от стихийных бедствий.

Основной и наиболее распространенный метод защиты информации и обо­рудования от различных стихийных бедствий (пожаров, землетрясений, навод­нений и т. д.) состоит в хранении архивных копий информации или в размеще­нии некоторых сетевых устройств, например, серверов баз данных, в специаль­ных защищенных помещениях, расположенных, как правило, в других зданиях или, реже, даже в другом районе города или в другом городе.

2.2 Программные и программно-аппаратные методы защиты

Защита от компьютерных вирусов.

Вряд ли найдется хотя бы один пользователь или администратор сети, ко­торый бы ни разу не сталкивался с компьютерными вирусами. По данным ис­следования, проведенного фирмой «Creative Strategies Research», 64 % из 451 опрошенного специалиста испытали «на севе» действие вирусов. Сегодня до­полнительно к тысячам уже известных вирусов ежемесячно появляется 100-150 новых штаммов. Наиболее распространенными методами защиты от вирусов по сей день остаются различные антивирусные программы.

Однако в качестве перспективного подхода к защите от компьютерных ви­русов в последние годы все чаще применяется сочетание программных и аппа­ратных методов защиты. Среди аппаратных устройств такого плана можно от­метить специальные антивирусные платы, которые вставляются в стандартные слоты расширения компьютера. Корпорация Intel в 1994 г. предложила пер­спективную технологию защиты от вирусов в компьютерных сетях. Flash-память сетевых адаптеров Intel EtherExpress PRO/10 содержит антивирусную программу, сканирующую все системы компьютера еще до его загрузки.

Защита от несанкционированного доступа.

Проблема защиты информации от несанкционированного доступа особо обострилась с широким распространением локальных и, особенно, глобальных компьютерных сетей. Необходимо также отметить, что зачастую ущерб нано­сится не из-за «злого умысла», а из-за элементарных ошибок пользователей, ко­торые случайно портят или удаляют жизненно важные данные. В связи с этим, помимо контроля доступа, необходимым элементом защиты информации в компьютерных сетях является разграничение полномочий пользователей.

В компьютерных сетях при организации контроля доступа и разграничения полномочий пользователей чаще всего используются встроенные средства се­тевых операционных систем. Так, крупнейший производитель сетевых ОС — корпорация «Novell» в своем последнем продукте «NetWare 4.1» предусмотрел помимо стандартных средств ограничения доступа, таких, как система паролей и разграничения полномочий, ряд новых возможностей, обеспечивающих пер­вый класс защиты данных. Новая версия «NetWare» предусматривает, в частно­сти, возможность кодирования данных по принципу «открытого ключа» (алго­ритм RSA) с формированием электронной подписи для передаваемых по сети пакетов.

В такой системе организации защиты все равно остается слабое место: уро­вень доступа и возможность входа в систему определяются паролем. Не секрет, что пароль можно подсмотреть или подобрать. Для исключения возможности неавторизованного входа в компьютерную сеть в последнее время используется комбинированный подход — пароль + идентификация пользователя по персо­нальному «ключу». В качестве «ключа» может использоваться пластиковая карта (магнитная или со встроенной микросхемой «smart-card») или различные устройства для идентификации личности по биометрической информации — по радужной оболочке глаза или отпечаткам пальцев, размерам кисти руки и так далее.

Оснастив сервер или сетевые рабочие станции, например, устройством чте­ния смарт-карточек и специальным программным обеспечением, можно значи­тельно повысить степень защиты от несанкционированного доступа. В этом случае для доступа к компьютеру пользователь должен вставить смарт-карту в устройство чтения и ввести свой персональный код. Программное обеспечение позволяет установить несколько уровней безопасности, которые управляются системным администратором. Возможен и комбинированный подход с вводом дополнительного пароля, при этом приняты специальные меры против «пере­хвата» пароля с клавиатуры. Этот подход значительно надежнее применения паролей, поскольку, если пароль подглядели, пользователь об этом может не знать, если же пропала карточка, можно принять меры немедленно.

Смарт-карты управления доступом позволяют реализовать, в частности, та­кие функции, как контроль входа, доступ к устройствам персонального компь­ютера, к программам, файлам и командам. Кроме того, возможно также осуще­ствление контрольных функций, в частности, регистрация попыток нарушения доступа к ресурсам, использования запрещенных утилит, программ, команд DOS.

Одним из удачных примеров создания комплексного решения контроля доступа в открытых системах, основанного на программных и на аппаратных средствах защиты, стала система «Kerberos», в основе которой лежат три ком­понента:

1) база данных,

2) авторизационный сервер,

3) сервер выдачи разре­шений.

Защита информации при удаленном доступе.

По мере расширения деятельности предприятий, роста численности персо­нала и появления новых филиалов возникает необходимость доступа удален­ных пользователей (или групп пользователей) к вычислительным и информа­ционным ресурсам главного офиса компании. Чаще всего для организации уда­ленного доступа используются кабельные линии (обычные телефонные или вы­деленные) и радиоканалы. В связи с этим защита информации, передаваемой по каналам удаленного доступа, требует особого подхода.

В частности, в мостах и маршрутизаторах удаленного доступа применяется сегментация пакетов — их разделение и передача параллельно по двум линиям, что делает невозможным «перехват» данных при незаконном подключении «хакера» к одной из линий. К тому же используемая при передаче данных про­цедура сжатия передаваемых пакетов гарантирует невозможности расшифров­ки «перехваченных» данных. Кроме того, мосты и маршрутизаторы удаленного доступа могут быть запрограммированы таким образом, что удаленные пользо­ватели будут ограничены в доступе к отдельным ресурсам сети главного офиса.

Разработаны и специальные устройства контроля доступа к компьютерным сетям по коммутируемым линиям. Например, фирмой «AT&T» предлагается модуль «Remote Port Security Device» (PRSD), представляющий собой два блока размером с обычный модем: «RPSD Lock» (замок), устанавливаемый в цен­тральном офисе, и «RPSD Key» (ключ), подключаемый к модему удаленного пользователя. RPSD Key и Lock позволяют установить несколько уровней за­щиты и контроля доступа, в частности:

шифрование данных, передаваемых по линии при помощи генерируе­мых цифровых ключей;

контроль доступа в зависимости от дня недели или времени суток (все­го 14 ограничений) [10].

Широкое распространение радиосетей в последние годы поставило разра­ботчиков радиосистем перед необходимостью защиты информации от «хаке­ров», вооруженных разнообразными сканирующими устройствами. Были при­менены разнообразные технические решения. Например, в радиосети компании «RAM Mobil Data» информационные пакеты передаются через разные каналы и базовые станции, что делает практически невозможным для посторонних со­брать всю передаваемую информацию воедино. Активно используются в радио сетях и технологии шифрования данных при помощи алгоритмов DES и RSA.