Файл: Для чего нужна программноаппаратная защита информации.docx
ВУЗ: Не указан
Категория: Не указан
Дисциплина: Не указана
Добавлен: 24.10.2023
Просмотров: 53
Скачиваний: 2
ВНИМАНИЕ! Если данный файл нарушает Ваши авторские права, то обязательно сообщите нам.
Для чего нужна программно-аппаратная защита информации
Аппаратные средства защиты в большинстве случаев охраняют информацию, доступ к которой ограничен на основании требований закона, например, государственную или банковскую тайну, персональные данные. Поэтому правила их использования полностью или частично регламентируются на уровне государства. Статус охраняемой информации определяется законами, например, законом «О персональных данных», правила выбора аппаратно-программных средств – нормативными актами и рекомендациями ФСТЭК РФ.
Обеспечение безопасности информации на программно-аппаратном уровне предохраняет сведения от несанкционированного доступа и снижает риски хищения и дальнейшего неправомерного использования полученных сведений.
Комплекс аппаратно-программной защиты состоит из двух частей:
аппаратное устройство;
программный модуль.
Принцип работы системы состоит в том, что при попытке получения доступа к данным программа отправляет запрос к устройству, обеспечивающему работу ключа (токену, ридеру, электронному идентификатору, после подключения которого к компьютеру тот дает разрешение на работу), и функционирует только при его положительной реакции.
С точки зрения надежности эта методика выглядит предпочтительнее, чем просто программная защита, но стоимость аппаратной части делает ее доступной только для крупных и средних компаний или государственных организаций.
Защита от НСД
При выборе методов и средств защиты данных нужно учитывать, что существует несколько принципов защиты от несанкционированного доступа (НСД). На них основана работа средств программно-аппаратной защиты:
доступ к данным предоставляется только тем пользователям, которые уполномочены его получить на уровне внутренних документов компании;
каждый уполномоченный пользователь имеет доступ только к своему уровню информации, его прав недостаточно для работы с данными, находящимися в сфере ответственности других пользователей;
перечень операций, которые допустимо выполнять с данными, строго регламентирован, и зависит от изначально заданных прав пользователей.
Для защиты от НСД в аппаратно-программных средствах должен быть механизм распознавания уполномоченного пользователя и его авторизации (идентификации и аутентификации).
Процесс авторизации состоит из трех этапов:
1. Идентификация. Пользователь должен передать системе свой идентифицирующий признак, например, логин и пароль. При использовании аппаратных средств становится возможной и более глубокая степень идентификации по отпечатку пальца, сетчатке глаза, иным биометрическим признакам или на основании владения определенным устройством (магнитная карточка, электронный ключ);
2. Аутентификация. Этот процесс в работе программно-аппаратных средств нацелен на сравнение заявленного пользователем идентифицирующего признака с теми, которые хранятся в памяти устройства. В ходе аутентификации устанавливается подлинность пользователя. Она может реализовываться на основе простой или усложненной PIN-идентификации. В обоих случаях персональный идентификационный номер пользователя сравнивается с эталоном. При простом механизме идентификации система проводит обычное сравнение и в случае совпадения выдает разрешение на дальнейшую работу. При сложном, защищенном, система посылает запрос ключу, тот «отвечает» отправкой 64-разрядного ключа. Система складывает число с введенным пользователем PIN-кодом, направляя полученный результат ключу, тот проводит итоговую идентификацию, при положительном результате которой выдает разрешение на работу;
3. Авторизация. После того как подлинность пользователя установлена, аппаратно-программным средством определяется объем предоставленных ему прав.
Электронные ключи
Работа программно-аппаратных средств защиты информации становится невозможной, если их архитектурой не предусмотрено наличие электронных ключей. Они представляют собой явление предметного мира, физическое устройство, снабженное электронной начинкой и содержащее уникальную информацию, позволяющую идентифицировать пользователя.
Ключи бывают трех видов:
Специализированный электронный чип.
Микросхема перепрограммируемой памяти, имеющая собственные источники электропитания.
Ключ на базе микропроцессора.
Выбор технологии, на которой основан ключ, связан с типом аппаратного средства. Ранее ключи совмещались с рабочей станцией посредством обычных портов, через которые подключаются принтер или МФУ, что создавало неудобство для пользователей. Развитие USB-технологий упростило использование электронных ключей при работе с аппаратно-программными средствами защиты информации.
Как работает электронный ключ? Устройство, содержащее код легитимного пользователя, опознается программной частью системы, в результате осуществляется допуск к работе. Помимо данных, идентифицирующих пользователя, в ключе могут содержаться сведения о программе, используемой аппаратной частью: номер, данные о выпуске, дата оформления лицензии.
Данные, содержащиеся в памяти ключа, могут перепрограммироваться в дистанционном режиме, что усиливает безопасность. Электронные ключи применяются и для защиты авторских прав разработчика программы: считают число лицензий и не допускают их использование в большем количестве, чем оговорено в соглашении.
Как взламывается аппаратно-программная защита и как избежать взлома
Принимая решение о выборе аппаратно-программного средства, необходимо понимать, что современные технологии позволяют взламывать системы с недостаточным уровнем защиты. При этом стоимость аппаратной части высока. Современные версии ключей, токены, основаны на новейших технологиях, которые позволяют избежать ряда рисков, но не в полном объеме.
Для несанкционированного проникновения (взлома) в систему обычно используется один из двух методов:
поиск и использование уязвимостей в программной части;
эмулирование (подмена) данных, содержащихся в электронном ключе.
В первом случае из программы (приложения) удаляются части, в которых содержится код, обеспечивающий работу механизмов защиты. Это могут быть команды опроса электронного ключа (направление запроса в отдельном токе данных) или команды сравнения введенных данных с эталоном. Второй путь взлома, эмулирование электронного ключа, связан с использованием специальных программных средств – эмуляторов. Программа отправляет приложению обращения, содержащие, правильные ответы.
Если в первом случае методом защиты будет стандартное ограничение прав пользователей, исключающее вмешательство в программный код, во втором рекомендуется вкладывать в конструкцию устройства алгоритм хаотического обмена данными.
Следует учитывать, что реализация схемы эмуляции ключа крайне сложна и доступна немногим специалистам. Взаимодействие эмулятора ключа с программой осуществляется одним из двух способов:
путем подмены драйвера;
через точку входа API вызова ключа.
В первом случае решением станет регулярный аудит системных файлов, проверяющих их изменения. Во втором – шифрование той части программы, которая отвечает за взаимодействие с ключом, или реализация опции постоянного контроля его целостности. Дополнительным способом контроля целостности будет использование электронной подписи. Одним из решений станут микроконтроллеры. Это утилиты, которые отсылают сразу несколько запросов, позволяющих сверить точность введенного ключа. В некоторых программных продуктах реализуется до 18 алгоритмов, на основании которых производятся дополнительные вычисления, обеспечивающие точность аутентификации и контролирующие только легитимный доступ к информации.
Программно-аппаратные механизмы защиты информации находят все большее применение. Они используются не только для защиты локальных сетей, но и для работы с облачными хранилищами. Цена устройств по мере развития технологий снижается. Поэтому при разработке архитектуры собственной информационной системы, в целях обеспечения максимально достижимого уровня безопасности, следует рассмотреть возможность их применения.
Введение.
Информация — это ресурс, владея которым, мы имеем преимущество перед конкурентами. Проблема защиты информации возникла, когда прогресс сделал человека зависимым от информационных систем. Сейчас мы получаем информацию не только из газет, телевиденья и радио, но и Интернет-ресурсов. Параллельно с прогрессом мы стали уязвимы к атакам правонарушителей и компьютерным вирусам. Постоянное увеличение объема конфиденциальной информации заставляет нас ознакомиться с программно-аппаратными средствами защиты информации.
Программно-аппаратные средства защиты.
Программно-аппаратные средства защиты — это способы контроля оборудования и программных средств от взлома, перехвата информации, несанкционированного подключения третьих лиц. Программные и технические средства защиты информации необходимы там, где утечка данных и ценной информации влечет за собой серьезные финансовые, репутационные, производственные риски для компании.
Средства защиты можно разбить на следующие группы:
Идентификация и аутентификация. Управление доступом;
протоколирование и аудит;
криптография;
экранирование.
Рассмотрим каждый из них в отдельности:
Идентификация и аутентификация. Управление доступом.
Аутентификация — это основа безопасности любой системы, которая заключается в проверке подлинности данных о пользователе сервером.
Аутентификация не представляет собой ни идентификацию, ни авторизацию. Это три понятия, которые являются элементами защиты информации. Во-первых, идентификация, в процессе которой происходит распознавание информации о пользователе, его логине и пароле. Во-вторых, процесс проверки информации о пользователе — аутентификация. И, в-третьих, авторизация — проверка прав пользователя и определение возможности доступа.
Данная система защиты нужна для доступа к:
электронной почте;
платежным системам;
интернет-банкингу;
форумам;
социальным сетям.
Управление доступом - ограниченный доступ к информации, компьютерам, сетям, приложениям, системным ресурсам, файлам и программам. В основе управления доступом лежит идентификация и аутентификация. Задача управления доступом состоит в том, чтобы для каждой пары "субъект-объект" определить множество допустимых операций и контролировать выполнение установленного порядка.
Протоколирование и аудит.
Протоколирование — сбор и накопление информации о событиях, происходящих в информационной сфере.
Аудит — это анализ накопленной информации, проводимый в реальном времени или периодически.
Данная система защиты выполняет важные задачи:
составляет отчет обо всех пользователях и администраторах;
выявляет слабые места в защите сервера, оценивает размер повреждений и возвращает к нормальной работе;
предоставляет информацию для анализа и выявления проблем.
Характерной особенностью протоколирования и аудита является зависимость от других средств защиты информации. Идентификация и аутентификация служат началом для составления отчета о пользователях, управление доступом защищает конфиденциальность и целостность зарегистрированной информации.
Криптография.
Криптографическая защита информации — это механизм защиты с помощью шифрования данных, в результате которого их содержание становится недоступным без предъявления ключа криптограммы и обратного преобразования.
Ключ – это важнейший компонент шифра, отвечающий за выбор преобразования, применяемого для зашифрования конкретного сообщения.
Криптографическими средствами защиты являются такие средства и способы преобразования информации, в результате которых скрывается ее содержание. Криптографическую защиту можно разделить на 2 основных вида: шифрование и кодирование защищаемых данных.
В случаи шифрования каждый символ скрываемых данных подвергается самостоятельному преобразованию. Когда, при кодировании защищаемых данных, информация делится на блоки, имеющие смысловые значения, и результате, каждый блок заменяется цифровым, буквенным или комбинированным кодом.
В состав криптографической системы входят: один или нескольких алгоритмов шифрования