Сигурен обмен на файлове през Интернет. Софтуерни продукти и системи

14.09.2006 Марк Джоузеф Едуардс

Кой метод е най-подходящ за вашите условия? Изпращането на файлове през Интернет е често срещана операция и защитата на файловете, които прехвърляте, е от първостепенно значение за много предприятия. Има различни начини за прехвърляне на файлове и много методи за защита на тези файлове по време на прехвърляне.

Кой метод е най-подходящ за вашите условия?

Изпращането на файлове през Интернет е често срещана операция и защитата на файловете, които прехвърляте, е от първостепенно значение за много предприятия. Има различни начини за прехвърляне на файлове и много методи за защита на тези файлове по време на прехвърляне. Изборът на метод за предаване и криптиране зависи от общите нужди на подателя. В някои случаи е достатъчно просто да се гарантира безопасността на файловете по време на прехвърлянето. При други е по-важно да се криптират файловете, така че да останат защитени дори след доставка на адресата. Нека разгледаме по-отблизо начините за сигурно прехвърляне на файлове.

По пътя и при пристигане

Ако единственото ви намерение е да защитите файловете, докато пътуват през интернет, имате нужда от защитена транспортна технология. Една от възможностите е да използвате уеб сайт, който може да получава файлове, качени на него, и че такива файлове могат да бъдат изтеглени сигурно. За да транспортирате сигурно файлове до уеб сайт, можете да създадете уеб страница със слой на защитени гнезда (SSL), която хоства ActiveX контрола или Javascript скрипт. Например, можете да използвате контролата AspUpload от Persitis Software; разработчиците твърдят, че това е „най-модерният централен контрол на транспортирането на файлове, наличен на пазара“. Друга възможност е да използвате скрипта Free ASP Upload, който не изисква двоичен компонент. За допълнителна сигурност можете дори да защитите с парола както уеб страницата, така и свързаната с нея директория за изпращане на хостинг. Когато става въпрос за изтегляне на файлове от уеб сайт, просто трябва да се уверите, че съответният уеб сървър осигурява SSL връзки, поне за URL адреса, използван за изтегляне на файловете.

Алтернативен вариант е да се използва FTP сървър, който осигурява трансфер на данни чрез FTP Secure протокол. По принцип FTPS е FTP протокол, който работи през защитена SSL връзка. FTPS се предлага в много популярни FTP клиенти, но за съжаление не в FTP услугата на Microsoft. Следователно ще трябва да използвате приложение за FTP сървър, което предоставя тази възможност (например популярния продукт WFTPD). Не бъркайте FTPS със SSH протокол за прехвърляне на файлове. SFTP е протокол за прехвърляне на файлове, който работи върху Secure Shell (SSH); също така може да се използва за прехвърляне на файлове. Имайте предвид обаче, че SFTP е несъвместим с традиционния FTP, така че заедно със защитен шел сървър (да речем сървър, предоставен от SSH Communications Security), ще ви е необходим специален SFTP клиент (това може да е клиент, включен в PuTTY Telnet / Secure Shell или WinSCP с GUI).

Освен това VPN мрежите могат да осигурят защитен трансфер на файлове. Платформите на Windows Server осигуряват VPN оперативна съвместимост чрез RRAS. Това обаче не гарантира съвместимост с VPN решенията на вашите партньори. Ако тази съвместимост не е налична, можете да използвате едно от широко разпространените решения, като например Open-VPN инструмента с отворен код. Той е безплатен и работи на различни платформи, включително Windows, Linux, BSD и Macintosh OS X. За повече информация относно интеграцията на OpenVPN вижте Работа с OpenVPN ( ).

След като имате VPN връзка, ще можете да разпределяте директории и да прехвърляте файлове в двете посоки. При всяко използване на VPN трафикът се криптира, така че няма нужда от допълнително криптиране на файлове - освен в случаите, когато се изисква файловете да останат защитени в системата, към която се прехвърлят. Този принцип важи за всички методи на трансфер, които споменах досега.

Ако не се притеснявате за етапа на прехвърляне и основната ви грижа е да предотвратите достъп на неоторизирани потребители до съдържанието на файловете, препоръчително е просто да криптирате файловете, преди да ги транспортирате. В този случай имейлът вероятно ще бъде ефективен канал за прехвърляне на файлове. Приложенията за електронна поща са инсталирани на почти всяка настолна система, така че ако изпращате файлове по имейл, не е необходимо да използвате допълнителни технологии, различни от криптирането на данни. Методът за прехвърляне на файлове по имейл е ефективен, тъй като съобщенията и прикачените файлове обикновено отиват директно в пощенската кутия на получателя, въпреки че съобщението може да премине през множество сървъри по време на предаването.

Въпреки това, ако все още се нуждаете от допълнителна защита за вашите данни, докато пътуват по имейл, помислете за използването на протоколите SMTP Secure (SMTPS) и POP3 Secure (POP3S). По принцип SMTPS и POP3S са обикновени SMTP и POP3 протоколи, изпълнявани през защитена SSL връзка. Microsoft Exchange Server, подобно на повечето имейл клиенти, включително Microsoft Outlook, предоставя възможност за използване на протоколите SMTPS и POP3S. Трябва да се има предвид, че дори в случаите, когато SMTPS се използва за обмен на файлове между пощенския клиент и пощенския сървър, все още е възможно пощенският сървър да достави поща до крайния получател през нормална незащитена SMTP връзка.

Тъй като инструментите за обработка на имейли са толкова широко разпространени, останалата част от тази статия ще се фокусира върху сигурното прехвърляне на файлове по имейл канали. При това ще изхождаме от факта, че подателят трябва да криптира данните, за да ги защити както на етапа на предаване, така и след доставката. И така, нека да разгледаме най-популярните технологии за криптиране на имейл днес.

Инструменти за компресиране на файлове

Има много начини за компресиране на файлове в един архивен файл и много от предложените решения използват някаква форма на криптиране за защита на съдържанието на архива. Обикновено парола се задава по време на процеса на компресиране и всеки, който иска да отвори архива, може да го направи само с тази парола.

Един от най-популярните методи за създаване на компресирани файлови архиви е методът за компресиране на zip; почти всички архиватори го поддържат. И един от най-разпространените инструменти за компресиране на цип днес е приложението WinZip. Може да се използва като самостоятелна програма, вградена в Windows Explorer за лесен достъп и да се използва WinZip Companion за Outlook за интегриране на този продукт с клиента на Outlook. WinZip, подобно на много други архиватори, поддържащи zip, осигурява Zip 2.0 криптиране. Но трябва да кажа, че защитата на файлове с този метод не е достатъчно надеждна. По-приемлива опция за криптиране е внедрена в продукта WinZip 9.0. Както показва Фигура 1, WinZip вече поддържа спецификацията Advanced Encryption Standard (AES), която използва 128-битови или 256-битови ключове за криптиране. AES е сравнително нова технология, но вече се счита за индустриален стандарт.

Екран 1 WinZip поддържа AES спецификация

Не мога да кажа точно колко архиватори предоставят използването на силни алгоритми за криптиране, използващи AES, и ще се огранича само да спомена едно такова приложение; Това е bxAutoZip продукт, разработен от BAxBEx Software. Той взаимодейства с BAxBEx CryptoMite и може да бъде вграден в Outlook. Докато WinZip може да криптира данни само с помощта на Zip 2.0 и AES, CryptoMite предоставя редица други опции за криптиране, включително популярните Twofish и Blowfish алгоритми, Cast 256, Gost, Mars и SCOP.

Почти всички компютърни системи са оборудвани с инструменти за разопаковане на zip файлове, но не всички zip приложения осигуряват съвместимост с различни алгоритми за криптиране. Ето защо, преди да изпратите криптирани файлове, трябва да се уверите, че zip приложението на получателя "разбира" избрания алгоритъм.

При криптиране на файлове с zip приложения се използват защитени пароли. Получателят трябва също да използва съответната парола, за да декриптира архивния файл. Трябва да се внимава при избора на метод за доставка на парола. Вероятно най-безопасните методи за доставка на парола са по телефон, факс или куриер. Можете да изберете всеки от тях, но в никакъв случай не трябва да изпращате паролата по имейл в обикновен текст; в този случай опасността неоторизиран потребител да получи достъп до криптирания файл се увеличава драстично.

Имайте предвид, че криптираните архиватори позволяват прехвърляне на файлове извън имейл каналите. Те могат да се използват ефективно за транспортиране на данни и с другите методи, споменати по-горе.

Доста добра поверителност

Друг изключително популярен метод за криптиране може да бъде приложен с Pretty Good Privacy. PGP нашумя, когато Фил Цимерман го публикува безплатно в Интернет през 1991 г. PGP стана комерсиален продукт през 1996 г. и след това придобит от Network Associates (NAI) през 1997 г. През 2002 г. тази технология е придобита от NAI от младата PGP Corporation.

Оттогава PGP Corporation продаде комерсиална версия на PGP, която работи под Windows и Mac OS X. Текущата версия на PGP 9.0, която прилага криптиране на един файл и пълно криптиране на диск, може да бъде вградена в AOL Instant Messenger (AIM). В допълнение, PGP 9.0 се интегрира с продукти като Outlook, Microsoft Entourage, Lotus Notes, Qualcomm Eudora, Mozilla Thunderbird и Apple Mail.

PGP използва система за криптиране с публичен ключ, която генерира двойка ключове за криптиране - публичен ключ и частен ключ. Двата ключа са математически свързани по такъв начин, че данните, криптирани с публичния ключ, могат да бъдат декриптирани само с частния ключ. Потребителят на PGP генерира двойка публичен ключ/частен ключ и след това публикува публичния ключ в каталога с публични ключове или на уеб сайт. Тайният ключ, разбира се, не се публикува никъде и се пази в тайна; използва се само от собственика му. При декриптиране на данни с частен ключ се изисква парола, но при криптиране на данни с публичен ключ това не се предоставя, защото всеки може да използва публичните ключове.

За по-лесно използване на системата PGP, нейните разработчици са внедрили функцията за автоматично търсене на каталози с публични ключове. Тази функция позволява чрез въвеждане на имейл адреса на потребител в лентата за търсене да се намери неговия публичен ключ. PGP предоставя възможността за автоматично четене на публични ключове, които могат да се съхраняват локално във вашата система за лесен достъп в специален, базиран на файлове "keyring". Чрез анкетиране на каталога на публичните ключове, PGP ви позволява винаги да съхранявате най-новите им версии в "куп". Ако потребител промени своя публичен ключ, можете да получите достъп до актуализирания ключ, когато имате нужда от него.

За да осигурите по-надеждни гаранции за автентичността на публичните ключове, можете да използвате цифрови подписи с ключовете на други потребители. Подписът на ключа от друг потребител служи като допълнително потвърждение, че ключът наистина принадлежи на лицето, което твърди, че е негов собственик. За да потвърди ключ с помощта на цифров подпис, PGP извършва някаква математическа операция и добавя своя уникален резултат към ключа. След това подписът може да бъде проверен, като го сравните с ключа за подпис, който е бил използван за създаване на подписа. Този процес е подобен на процеса на едно лице, което потвърждава самоличността на друго.

Системата PGP се доверява от мнозина, защото отдавна е утвърдила репутация в индустрията като надеждна технология за защита на информация. Но както и да е, ако решите да използвате PGP или друг метод за криптиране на данни с публични ключове, не забравяйте, че получателите на вашите файлове също трябва да имат съвместима система за криптиране. Едно от предимствата на PGP при използване на електронната поща като канал за предаване на данни е, че поддържа собствен модел на криптиране, както и технологиите X.509 и S/MIME, които ще обсъдя по-нататък.

Освен това трябва да се отбележи още един момент. Независимо дали планирате да използвате PGP, WinZip или друга система за криптиране, ако искате да шифровате съдържанието на съобщението в допълнение към криптирането на прикачените файлове, ще трябва да напишете съобщението в отделен файл и да го шифровате също. Ако желаете, този файл със съобщението може да бъде поставен в архива заедно с други файлове или прикачен като прикачен файл.

PKI

Инфраструктурата на публичния ключ (PKI) е уникална, но работи донякъде като PGP. PKI предполага използването на двойка ключове - публичен и секретен. Подателите използват публичния ключ на получателя, за да криптират данните, изпратени до получателя; след като данните бъдат доставени на получателя, той ги декриптира с личния си ключ.

Фигура 2: Преглед на съдържанието на сертификат

Една съществена разлика е, че в PKI публичният ключ обикновено се съхранява във формат на данни, известен като сертификат. Сертификатите могат да съдържат много повече информация от обикновените ключове. Например сертификатите обикновено съдържат дата на изтичане, така че знаем кога сертификатът и свързаният с него ключ вече няма да са валидни. Освен това сертификатът може да включва име, адрес, телефонен номер на притежателя на ключове и други данни. Фигура 2 показва съдържанието на сертификата, както се появява в Microsoft Internet Explorer (IE) или Outlook. До известна степен съдържанието на сертификата зависи от това какви данни желае собственикът да постави в него.

Подобно на PGP, PKI позволява формирането на "вериги на доверие", в които сертификатите могат да бъдат подписани със сертификати от други потребители. Освен това се появиха сертифициращи органи (CA). Те са доверени независими организации, които не само издават свои собствени сертификати, но и подписват други сертификати, за да гарантират тяхната автентичност. Както при PGP и свързаните с него ключови сървъри, сертификатите могат да бъдат публикувани на публични или частни сървъри за сертификати или LDAP сървъри, изпращани по електронна поща и дори хоствани на уеб сайтове или на файлов сървър.

За да осигурят автоматично удостоверяване на сертификат, разработчиците на клиенти за електронна поща и уеб браузъри обикновено оборудват своите програми със средства за комуникация със сървърите на CA. По време на този процес вие също ще можете да получите информация за анулирането на сертификата по една или друга причина и съответно да заключите, че на този сертификат вече не може да се вярва. Разбира се, понякога трябва да плащате за услугите на сертифициращите органи за предоставяне и сертифициране на сертификати; цените могат да варират в зависимост от избрания сертифициращ орган. Някои организации предоставят на клиентите безплатни персонализирани сертификати по имейл, докато други начисляват значителни награди за това.

PKI се основава на спецификацията X.509 (извлечена от спецификацията LDAP X). Следователно сертификатите, издадени от един орган (включително сертификати, които генерирате сами) обикновено могат да се използват на различни платформи. Просто трябва тези платформи да са съвместими с X.509. Можете също така сами да генерирате сертификати, като използвате някой от наличните инструменти като OpenSSL.

Ако вашата организация използва Microsoft Certificate Services, можете да поискате сертификат чрез тази услуга. В Windows Server 2003 и Windows 2000 Server среди този процес трябва да бъде приблизително еднакъв. Отворете уеб страницата на сървъра на сертификати (обикновено се намира на адрес http: // име на сървъра / CertSrv), след което изберете елемента Заявка за сертификат. На следващата страница изберете елемента за заявка на потребителски сертификат и следвайте инструкциите на уеб съветника, докато процесът приключи. Ако услугата за сертификати е конфигурирана по такъв начин, че за издаване на сертификат се изисква упълномощаване на администратора, системата ще ви уведоми за това със специално съобщение и ще трябва да изчакате решението на администратора. В противен случай ще получите хипервръзка, която ще ви позволи да инсталирате сертификата.

Някои независими CA, като Thwate и InstantSSL на Comodo Group, предлагат на потребителите безплатни персонализирани пощенски сертификати; това е лесен начин за получаване на сертификати. Освен това такива сертификати вече ще бъдат подписани от издаващия орган, което улеснява проверката на тяхната автентичност.

Когато става въпрос за използване на PKI за изпращане на криптирани данни с помощта на имейл програма, спецификацията Secure MIME (S / MIME) влиза в игра. Outlook, Mozilla Thunderbird и Apple Mail са само няколко примера за имейл приложения, които активират този протокол. За да изпратите криптирано имейл съобщение до получателя (включително или без прикачени файлове), трябва да имате достъп до публичния ключ на получателя.

За да получите публичен ключ на друг потребител, можете да видите информацията за ключа на LDAP сървъра (ако само ключът е публикуван чрез LDAP). Като алтернатива можете да помолите лицето да ви изпрати съобщение с цифров подпис; Обикновено имейл клиентите с активиран S / MIME прикачват копие на публичния ключ, когато доставят подписано съобщение на получателя. Или можете просто да помолите лицето, което ви интересува, да ви изпрати съобщение с публичния ключ, прикачен към него. Впоследствие можете да съхранявате този публичен ключ в интерфейса за управление на ключове, който е включен във вашия имейл клиент. Outlook се интегрира с вграденото в Windows хранилище за сертификати. Ако трябва да използвате публичен ключ, той винаги ще бъде под ръка.

Криптиране, базирано на подателя

Voltage Security разработи нова технология - криптиране, базирано на самоличност (IBE). Като цяло тя е подобна на PKI технологията, но има интересна функция. Секретният ключ се използва за декриптиране на съобщения в IBE, но нормалният публичен ключ не се използва по време на процеса на криптиране. IBE използва пощенския адрес на подателя като такъв ключ. Така при изпращане на криптирано съобщение до получателя не възниква проблемът с получаването на неговия публичен ключ. Достатъчно е да имате имейл адреса на този човек.

IBE технологията предполага съхранение на секретния ключ на получателя на сървъра на ключовете. Получателят потвърждава правата си за достъп до ключовия сървър и получава таен ключ, с който декриптира съдържанието на съобщението. Технологията IBE може да се използва от потребители на Outlook, Outlook Express, Lotus Notes, Pocket PC и Research in Motion (RIM) BlackBerry. Според Voltage Security, IBE работи и на всяка базирана на браузър имейл система, работеща на практика всяка операционна система. Вероятно такива универсални решения за защита на напрежението са точно това, от което се нуждаете.

По-специално, технологията IBE се използва в продуктите на FrontBridge Technologies като средство за улесняване на защитени криптирани имейл комуникации. Както вероятно вече знаете, през юли 2005 г. FrontBridge беше придобит от Microsoft, която планира да интегрира решенията на FrontBridge с Exchange; комбинация от тези технологии скоро може да бъде предложена на потребителите като управлявана услуга. Ако системите за електронна поща на вашата организация и вашите партньори са базирани на Exchange, следете развитието в тази област.

Всички неща взети предвид

Има много начини за сигурно прехвърляне на файлове през Интернет и най-лесният и най-ефективен от тях е чрез електронна поща. Разбира се, тези, които трябва да обменят голям брой файлове, представляващи големи количества данни, могат да обмислят използването на други методи.

Трябва внимателно да прецените колко файлове ще прехвърлите, колко са големи, колко често ще трябва да прехвърляте тези файлове, кой трябва да има достъп до тях и как ще бъдат съхранени в момента на получаване. Имайки предвид тези фактори, можете да изберете най-добрия начин за прехвърляне на вашите файлове.

Ако заключите, че имейлът е най-добрият вариант за вас, имайте предвид, че много пощенски сървъри и пощенски клиенти могат да изпълняват скриптове или действия, базирани на правила, когато пристигне пощата. Използвайки тези функции, можете да автоматизирате движението на файлове както по маршрута на пощенските сървъри, така и когато файловете пристигнат в пощенската кутия.

Марк Джоузеф Едуардс е старши редактор за Windows IT Pro и автор на седмичната актуализация за сигурност ( http://www.windowsitpro.com/email). [защитен с имейл]

В контекста на нарастващите интеграционни процеси и създаването на единно информационно пространство в много организации, ЛАНИТ предлага да работи по създаването на сигурна телекомуникационна инфраструктура, която свързва отдалечените офиси на компаниите в едно цяло, както и осигуряване на високо ниво на сигурността на информационните потоци между тях.

Приложената технология на виртуалните частни мрежи дава възможност за комбиниране на географски разпределени мрежи, като се използват както защитени специализирани канали, така и виртуални канали, преминаващи през глобални публични мрежи. Последователният и систематичен подход към изграждането на защитени мрежи включва не само защита на външните комуникационни канали, но и ефективна защита на вътрешните мрежи чрез идентифициране на затворени вътрешни VPN вериги. По този начин използването на VPN технологията ви позволява да организирате сигурен потребителски достъп до Интернет, да защитите сървърните платформи и да решите проблема с сегментирането на мрежата в съответствие с организационната структура.

Защитата на информацията по време на предаване между виртуални подмрежи се осъществява с помощта на асиметрични ключови алгоритми и електронен подпис, който предпазва информацията от фалшифициране. Всъщност данните, подлежащи на междусегментно предаване, се кодират на изхода от една мрежа и се декодират на входа на друга мрежа, докато алгоритъмът за управление на ключовете гарантира тяхното сигурно разпределение между крайните устройства. Цялото манипулиране на данни е прозрачно за приложения, работещи в мрежата.

Отдалечен достъп до информационни ресурси. Защита на информацията, предавана по комуникационни канали

При взаимодействие между географски отдалечени обекти на една компания възниква задачата да се гарантира сигурността на обмена на информация между клиенти и сървъри на различни мрежови услуги. Подобни проблеми възникват в безжичните локални мрежи (WLAN), както и когато отдалечените абонати имат достъп до ресурсите на корпоративната информационна система. Неоторизирано свързване към комуникационни канали и осъществяване на прихващане (прослушване) на информация и модифициране (подмяна) на предаваните по канали данни (пощенски съобщения, файлове и др.) тук се разглежда като основна заплаха.

За защита на данните, предавани по посочените комуникационни канали, е необходимо да се използват подходящи средства за криптографска защита. Крипто трансформациите могат да се извършват както на ниво приложение (или на нивата между приложните протоколи и TCP/IP протокола), така и на мрежово ниво (трансформиране на IP пакети).

При първия вариант криптирането на информация, предназначена за транспортиране по комуникационен канал през неконтролирана територия, трябва да се извърши на изпращащия възел (работна станция - клиент или сървър), а декриптирането - на приемащия възел. Тази опция включва извършване на значителни промени в конфигурацията на всяка взаимодействаща страна (свързване на инструменти за криптографска защита към приложни програми или комуникационната част на операционната система), което по правило изисква големи разходи и инсталиране на подходящи инструменти за защита за всеки възел на локалната мрежа. Решенията на тази опция включват протоколите SSL, S-HTTP, S/MIME, PGP/MIME, които осигуряват криптиране и цифров подпис на пощенски съобщения и съобщения, предавани по протокола http.

Вторият вариант включва инсталирането на специални инструменти, които извършват крипто-трансформации в точките на свързване на локални мрежи и отдалечени абонати към комуникационни канали (обществени мрежи), преминаващи през неконтролирана територия. При решаването на този проблем е необходимо да се осигури необходимото ниво на защита на криптографските данни и минималните възможни допълнителни закъснения по време на тяхното предаване, тъй като това означава тунелиране на предавания трафик (добавяне на нов IP хедър към тунелирания пакет) и използване на алгоритми за криптиране на различни силни страни. Поради факта, че средствата, осигуряващи криптографски трансформации на мрежово ниво, са напълно съвместими с всички приложни подсистеми, работещи в корпоративната информационна система (те са „прозрачни“ за приложения), те се използват най-често. Ето защо ще се спрем по-нататък на тези средства за защита на информацията, предавана чрез комуникационни канали (включително чрез обществени мрежи, например Интернет). Трябва да се има предвид, че ако средствата за криптографска защита на информацията се планират за използване в държавни агенции, тогава въпросът за техния избор трябва да се реши в полза на продукти, сертифицирани в Русия.

Технология за защитени каналие предназначена да гарантира сигурността на предаването на данни през отворена транспортна мрежа, например през Интернет. Сигурният канал има три основни функции:

· Взаимна автентификация на абонатите при установяване на връзка, която може да се извърши например чрез размяна на пароли;

· Защита на съобщенията, предавани по канала, от неоторизиран достъп, например чрез криптиране;

· Потвърждение на целостта на съобщенията, пристигащи през канала, например чрез предаване едновременно със съобщението и неговия дайджест.

Колекцията от защитени канали, създадени от предприятие в публична мрежа за свързване на неговите клонове, често се нарича виртуална частна мрежа(Виртуална частна мрежа, VPN).

Има различни реализации на технологията за защитени канали, които по-специално могат да работят на различни слоеве на OSI модела. И така, функциите на популярния SSL протокол съответстват на Представител OSI моделен слой. Нова версия мрежа IP предоставя всички функции - взаимно удостоверяване, криптиране и интегритет - които по дефиниция са присъщи на защитен канал, а протоколът за тунелиране PPTP защитава данните на каналниво.

В зависимост от местоположението на софтуера за защитен канал се разграничават две схеми на неговото формиране:

· Схема с крайни възли, взаимодействащи чрез публична мрежа (фиг. 1.2, а);

· Схема с оборудването на доставчик на обществена мрежова услуга, разположен на границата между частната и обществената мрежа (фиг. 1.2, б).

В първия случай защитен канал се формира от софтуер, инсталиран на два отдалечени компютъра, принадлежащи към две различни локални мрежи на едно и също предприятие и свързани помежду си чрез публична мрежа. Предимството на този подход е пълна сигурност на канала по целия маршрут, както и възможността за използване на всякакви протоколи за създаване на защитени канали, стига крайните точки на канала да поддържат същия протокол. Недостатъците са излишността и децентрализацията на решението. Излишъкът се крие във факта, че едва ли си струва да създавате защитен канал по целия път на данни: мрежите с комутиране на пакети обикновено са уязвими за нападателите, а не каналите на телефонната мрежа или наетите линии, чрез които локалните мрежи са свързани към WAN. Следователно защитата на каналите за достъп до обществената мрежа може да се счита за излишна. Децентрализацията означава, че за всеки компютър, който трябва да предоставя услугите на защитен канал, е необходимо отделно да се инсталира, конфигурира и администрира софтуер за защита на данните. Свързването на всеки нов компютър към защитен канал изисква изпълнението на тези трудоемки задачи наново.

Фигура 1.2 - Два начина за създаване на защитен канал

Във втория случай клиентите и сървърите не участват в създаването на защитен канал - той се полага само в публична мрежа с комутиране на пакети, например в Интернет. Връзката може да бъде, например, между сървъра за отдалечен достъп на доставчика на публична мрежова услуга и рутер на корпоративна мрежа. Това е силно мащабируемо решение, управлявано централно както от администратора на корпоративната мрежа, така и от мрежовия администратор на доставчика на услуги. За компютрите в корпоративната мрежа каналът е прозрачен - софтуерът на тези крайни възли остава непроменен. Този гъвкав подход улеснява създаването на нови канали за сигурна комуникация между компютрите, независимо от тяхното местоположение. Изпълнението на този подход е по-сложно - имате нужда от стандартен протокол за създаване на защитен канал, всички доставчици на услуги трябва да инсталират софтуер, който поддържа такъв протокол, трябва да поддържате протокола от производители на оборудване за крайна комуникация. Въпреки това, вариантът, когато всички грижи за поддържането на защитен канал се поемат от доставчика на обществена мрежова услуга, оставя съмнения относно надеждността на защитата: първо, каналите за достъп до обществената мрежа са незащитени, и второ, потребителят на услугата се чувства напълно зависим върху надеждността на доставчика. услуги. И въпреки това експертите прогнозират, че втората схема ще стане основна в изграждането на сигурни канали в близко бъдеще.

2. Принципи на криптографска защита на информацията

Криптографияе набор от методи за преобразуване на данни, целящи да направят тези данни недостъпни за врага. Такива трансформации решават два основни проблема за защита на данните: въпрос на поверителността(чрез лишаване на противника от възможността да извлича информация от комуникационния канал) и проблем с почтеността(чрез лишаване на врага от възможността да промени съобщението, така че значението му да се промени, или да въведе невярна информация в комуникационния канал).

Проблемите с поверителността и целостта на информацията са тясно свързани, така че методите за решаване на един от тях често са приложими за решаване на другия.

2.1. Симетрична криптосистемна схема

Обобщена диаграма на криптографска система, която осигурява криптиране на предаваната информация, е показана на фигура 2.1.

Фигура 2.1 - Обобщена схема на криптосистема

Подателгенерира обикновен тексторигиналното съобщение M да бъде предадено на легитимния получателпрез незащитен канал. Каналът се гледа прехващачс цел прихващане и разкриване на предаденото съобщение. За да не може прехващачът да разбере съдържанието на съобщението M, изпращачът го криптира с помощта на обратима трансформация E K и получава шифрован текст(или криптограма) C = E K (M), който се изпраща на получателя.

Законният получател, след като е приел шифров текст C, го дешифрира с помощта на обратната трансформация D = E K –1 и получава оригиналното съобщение под формата на обикновен текст M:

D K (C) = E K –1 (E K (M)) = M.

Трансформацията EK е избрана от семейство криптографски трансформации, наречени криптоалгоритми. Параметърът, използван за избор на конкретна използвана трансформация, се нарича криптографски ключ K. ключ K.

Криптографската система е еднопараметърно семейство обратими трансформации

от пространството за съобщения с обикновен текст до пространството за шифротен текст. Параметърът K (ключ) се избира от краен набор, наречен пространство от ключове.

Преобразуването на криптиране може да бъде симетрично или асиметрично по отношение на трансформацията за декриптиране. Това важно свойство на функцията за трансформация дефинира два класа криптосистеми:

· Симетрични (с един ключ) криптосистеми;

· Асиметрични (с два ключа) криптосистеми (с публичен ключ).

Схема на симетрична криптосистема с един таен ключ е показана на фигура 2.1. Той използва същите секретни ключове в блока за криптиране и блока за декриптиране.

2.2. Асиметрична схема на криптосистема

Обобщена диаграма на асиметрична криптосистема с два различни ключа K 1 и K 2 е показана на фиг. 2.2. В тази криптосистема единият ключ е публичен, а другият таен.

Фигура 2.2 - Обобщена диаграма на асиметрична криптосистема

с публичен ключ

В симетрична криптосистема секретният ключ трябва да се предава на подателя и получателя чрез защитен канал за разпространение на ключове, като куриерска услуга. На фиг. 2.1 този канал е показан с "екранирана" линия. Има и други начини за разпространение на секретни ключове, те ще бъдат обсъдени по-късно. В асиметрична криптосистема само публичният ключ се предава по незащитен канал, а секретният ключ се съхранява на мястото на неговото генериране.

На фиг. 2.3 показва потока от информация в криптосистемата в случай на активни действия на прехващача. Активният прехващач не само чете всички шифротекстове, предадени по канала, но също така може да се опита да ги модифицира по желание.

Всеки опит от страна на прехващач да дешифрира шифрования C, за да получи открития текст M или да шифрова собствения си текст M, „за да получи правдоподобен шифров текст C“, без да има автентичен ключ, се нарича крипто-аналитична атака.

Фигура 2.3 - Информационен поток в криптосистемата с актив

прихващане на съобщения

Ако предприетите криптоаналитични атаки не постигат набелязаната цел и криптоаналитикът не може без истински ключ да изведе M от C или C „от M“, тогава такава криптосистема се счита за криптографски защитени.

КриптоанализТова е науката за разкриване на оригиналния текст на криптирано съобщение без достъп до ключа. Успешният анализ може да разкрие оригиналния текст или ключа. Освен това ви позволява да откривате слабости в криптосистемата, което в крайна сметка води до същите резултати.

Основното правило на криптоанализа, формулирано за първи път от холандеца А. Керкхоф още през 19 век, е, че силата на шифъра (криптосистемата) трябва да се определя само от секретността на ключа. С други думи, правилото на Керкхоф е, че целият алгоритъм за криптиране, с изключение на стойността на секретния ключ, е известен на криптоаналитика на противника. Това се дължи на факта, че криптосистема, която реализира семейство от криптографски трансформации, обикновено се разглежда като отворена система.

2.3. Хардуер и софтуер за защита на компютърна информация

Хардуерът и софтуерът, които осигуряват повишено ниво на защита, могат да бъдат разделени на пет основни групи (фиг. 2.4).

Първата група се формира от системи за идентификация и удостоверяване на потребителя. Такива системи се използват за ограничаване на достъпа на случайни и нелегални потребители до ресурсите на компютърна система. Общият алгоритъм за работа на тези системи е да се получи информация от потребителя, която доказва неговата самоличност, да се провери нейната автентичност и след това да се предостави (или да не се предостави) на този потребител възможност за работа със системата.

При конструирането на такива системи възниква проблемът с избора на информация, въз основа на която се извършват процедурите за идентификация и удостоверяване на потребителя. Могат да се разграничат следните видове:

(1) секретна информация, притежавана от потребителя (парола, личен идентификатор, таен ключ и др.); потребителят трябва да запомни тази информация или могат да се използват специални средства за съхранение на тази информация);

(2) физиологични параметри на човек (пръстови отпечатъци, рисунка на ириса на окото и др.) или особености на човешкото поведение (особенности на работа с клавиатура и др.).

Системите за идентификация, базирани на първия тип информация, се считат за традиционен... Системите за идентификация, използващи втория тип информация, се наричат биометрични.

Втората група инструменти, които осигуряват повишено ниво на защита са системи за криптиране на дискове... Основната задача, решавана от такива системи, е защитата от неоторизирано използване на данни, намиращи се на магнитни носители.

Осигуряването на поверителността на данните, намиращи се на магнитни носители, се извършва чрез криптирането им с помощта на симетрични алгоритми за криптиране. Основната характеристика на класификацията на криптиращите комплекси е нивото на тяхната интеграция в компютърна система.

Работата на приложните програми с дискови устройства се състои от два етапа - „логически“ и „физически“.

Логичен етапсъответства на нивото на взаимодействие между приложната програма и операционната система (например извикване на функциите на услугата за четене/запис на данни). На това ниво основният обект е файлът.

Физически етапсъответства на нивото на взаимодействие между операционната система и хардуера. Обектите на това ниво са структурите на физическата организация на данните – дискови сектори.

В резултат на това системите за криптиране на данни могат да извършват криптографски трансформации на данни на ниво файл (отделните файлове са защитени) и на ниво диск (защитени са цели дискове).

Друга класификационна характеристика на системите за криптиране на дискове е начинът, по който функционират.

Според метода на функциониране системата за криптиране на данни на диска е разделена на два класа:

(1) прозрачни системи за криптиране;

(2) системи, специално призвани за криптиране.

Фигура 2.4 - Хардуер и софтуер за защита на компютърната информация

В системите прозрачно криптиране(криптиране „в движение“) криптографските трансформации се извършват в реално време, незабелязано от потребителя. Например, потребителят записва документ, подготвен в текстов редактор, на защитен диск и системата за защита го криптира по време на процеса на запис.

Системите от клас II обикновено са помощни програми, които трябва да бъдат извикани специално за извършване на криптиране. Те включват например архиватори с вградена защита с парола.

Третата група фондове включва Системи за криптиране на данни, предавани през компютърни мрежи... Има два основни метода за криптиране: криптиране на канал и криптиране на терминал (абонат).

Кога криптиране на каналацялата информация, предавана по комуникационния канал, е защитена, включително служебната информация. Съответните процедури за криптиране се изпълняват с помощта на протокола на свързващия слой на седемслойния референтен модел за взаимно свързване на OSI Open Systems.

Този метод на криптиране има следното предимство - вграждането на процедури за криптиране в слоя за връзка за данни позволява използването на хардуер, което подобрява производителността на системата.

Този подход обаче има значителни недостатъци:

Цялата информация, включително служебните данни на транспортните протоколи, подлежи на криптиране на това ниво; това усложнява механизма на маршрутизиране на мрежови пакети и изисква декриптиране на данни в междинни комутационни устройства (шлюзове, повторители и др.);

Криптирането на служебната информация, което е неизбежно на това ниво, може да доведе до появата на статистически модели в криптирани данни; това се отразява на надеждността на защитата и налага ограничения върху използването на криптографски алгоритми.

Криптиране от край до край (абонат).ви позволява да гарантирате поверителността на данните, прехвърлени между два обекта на приложението (абонати). Криптирането от край до край се осъществява с помощта на приложния слой или протокола на представителния слой на референтния модел на OSI. В този случай само съдържанието на съобщението е защитено, цялата информация за услугата остава отворена. Този метод избягва проблеми, свързани с криптирането на служебна информация, но възникват други проблеми. По-специално, нападател, който има достъп до комуникационни канали на компютърна мрежа, е в състояние да анализира информация за структурата на обмена на съобщения, например за изпращача и получателя, за времето и условията на предаване на данни, както и за относно количеството прехвърлени данни.

Четвъртата група средства за защита са електронни системи за удостоверяване на данни.

При обмен на електронни данни през комуникационни мрежи възниква проблемът с удостоверяването на автора на документа и на самия документ, т.е. удостоверяване на автора и проверка за липса на промени в получения документ.

За удостоверяване на автентичността на електронните данни се използва код за удостоверяване на съобщението (имитация) или електронен цифров подпис. При генериране на кода за удостоверяване на съобщението и електронен цифров подпис се използват различни видове системи за криптиране.

Код за удостоверяване на съобщение MAC (Код за удостоверяване на съобщения) се формира с помощта на симетрични системи за криптиране на данни. Целостта на полученото съобщение се проверява чрез проверка на MAC кода от получателя на съобщението.

Домашният стандарт за симетрично криптиране на данни (GOST 28147-89) предвижда режим за генериране на имитация на вложка, която осигурява имитозащита, т.е. защита на криптираната комуникационна система от налагане на неверни данни.

Имитация на вложкасе генерира от отворени данни посредством специална криптираща трансформация с помощта на таен ключ и се предава по комуникационен канал в края на криптираните данни. Имитационното вмъкване се проверява от получателя на съобщението, който притежава секретния ключ, като се повтаря процедурата, извършена по-рано от подателя върху получените публични данни.

Електронен цифров подпис(EDS) е сравнително малко количество допълнителна удостоверяваща цифрова информация, предавана заедно с подписания текст.

За внедряването на EDS се използват принципите на асиметричното криптиране. Системата на ЕЦП включва процедура за генериране на цифров подпис от подателя с помощта на секретния ключ на подателя и процедура за проверка на подписа от получателя с помощта на публичния ключ на подателя.

Петата група средства, които осигуряват повишено ниво на защита, формират средство за управление на ключова информация... Ключовата информация се отнася до съвкупността от всички криптографски ключове, използвани в компютърна система или мрежа.

Сигурността на всеки криптографски алгоритъм се определя от използваните криптографски ключове. В случай на несигурно управление на ключове, нападателят може да се сдобие с ключова информация и да получи пълен достъп до цялата информация в компютърна система или мрежа.

Основната класификационна характеристика на инструментите за управление на ключова информация е типът на функцията за управление на ключове. Прави се разграничение между следните основни типове функции за управление на ключове: генериране на ключове, съхранение на ключове и разпределение на ключове.

Методи за генериране на ключовесе различават за симетрични и асиметрични криптосистеми. За генериране на ключове на симетрични криптосистеми се използват хардуер и софтуер за генериране на произволни числа, по-специално схеми, използващи блоково симетричен алгоритъм за криптиране. Генерирането на ключове за асиметрични криптосистеми е много по-трудна задача поради необходимостта от получаване на ключове с определени математически свойства.

Функция за съхранение на ключовепоема организацията на сигурно съхранение, отчитане и изтриване на ключове. За да се гарантира сигурно съхранение и предаване на ключовете, те се криптират с други ключове. Този подход води до ключови йерархични понятия... Йерархията на ключовете обикновено включва главен ключ (главен ключ), ключ за криптиране на ключ и ключ за криптиране на данни. Трябва да се отбележи, че генерирането и съхранението на главни ключове са критични проблеми с криптографската сигурност.

Разпределение на ключовее най-критичният процес в управлението на ключове. Този процес трябва да гарантира поверителността на ключовете, които ще бъдат разпространявани, както и бързината и точността на тяхното разпространение. Има два основни начина за разпределяне на ключове между потребителите на компютърна мрежа:

1) използването на един или повече ключови дистрибуторски центрове;

2) директен обмен на сесийни ключове между потребителите.

Андрей СуботинМатериалът се възпроизвежда с разрешението на издателя.

В момента има рязко увеличаване на обема на информацията (включително поверителна), предавана по отворени комуникационни канали. Чрез обикновени телефонни канали се осъществява взаимодействие между банки, брокерски къщи и фондови борси, отдалечени клонове на организации, търгуват се ценни книжа. Следователно проблемът със защитата на предаваната информация става все по-належащ. Въпреки факта, че специфичните реализации на системите за информационна сигурност могат да се различават значително една от друга поради разликата в процесите и алгоритмите за трансфер на данни, всички те трябва да предоставят решение на триединния проблем:

поверителността на информацията (достъпността й само за този, за когото е предназначена);

целостта на информацията (нейната надеждност и точност, както и сигурността на нейните умишлени и неволни изкривявания);

готовността на информацията (по всяко време, когато възникне нужда от нея).

Основните насоки за решаване на тези проблеми са некриптографската и криптографската защита. Некриптографската защита включва организационни и технически мерки за защита на съоръженията, намаляване на нивото на опасна радиация и създаване на изкуствени смущения. Поради сложността и обема на тази тема, некриптографската защита няма да се разглежда в тази статия.

Криптографската защита в повечето случаи е по-ефективна и по-евтина. В този случай поверителността на информацията се осигурява чрез криптиране на предадените документи или целия работен трафик.

Първият вариант е по-лесен за изпълнение и може да се използва за работа с почти всяка система за предаване на електронна поща. Най-често използваните алгоритми за криптиране са DES, RSA, GOST 28147-89, Vesta-2.

Вторият вариант може да се използва само в специално проектирани системи и в този случай е необходим високоскоростен алгоритъм, тъй като е необходимо да се обработват информационни потоци в реално време. Тази опция може да се счита за по-безопасна от първата, тъй като не само предаваните данни са криптирани, но и придружаващата информация, която обикновено включва типове данни, адреси на подател и получател, транзитни маршрути и много други. Този подход значително усложнява задачата за въвеждане на фалшива информация в системата, както и дублиране на предварително прихваната истинска информация.

Целостта на информацията, предавана по отворени комуникационни канали, се осигурява чрез използването на специален електронен подпис, който позволява да се установи авторството и автентичността на информацията. Понастоящем електронният подпис се използва широко за потвърждаване на правната значимост на електронните документи в системи за обмен на информация като Банка – Банка, Банка – Клон, Банка – Клиент, Борса – Брокерство и др. Сред най-разпространените алгоритми за електронен подпис са следните като RSA, PGP, ElGamal.

Готовността на информацията в повечето случаи се осигурява от организационни и технически мерки и инсталиране на специално отказоустойчиво оборудване. Изборът на един или друг алгоритъм за криптографска трансформация обикновено е изпълнен с големи трудности. Ето няколко типични примера.

Да предположим, че разработчикът на системата за защита твърди, че е приложил напълно изискванията на GOST 28147-89 в нея. Този GOST е публикуван, но не изцяло. Някои специални криптографски замествания, от които значително зависи неговата криптографска сила, не са публикувани. По този начин човек може да бъде сигурен в правилността на прилагането на GOST само ако има сертификат FAPSI, който повечето разработчици нямат.

Разработчикът на сигурността съобщава, че е внедрил алгоритъма RSA. Той обаче мълчи за това, че внедряването трябва да е лицензирано от RSA Data Security Inc. (патент на САЩ № 4,405,829). Освен това е забранено експортирането от САЩ на RSA реализации с дължина на ключа над 40 бита (криптографската сила на такъв ключ се оценява от експерти за около няколко дни работа на обикновен компютър с процесор Pentium).

Разработчикът на системата за сигурност информира, че внедрява алгоритъма PGP, който се използва широко у нас благодарение на изходния си код, който се разпространяваше безплатно до 1995 г. чрез американската BBS. Тук има два проблема. Първото е, че електронният подпис е направен на базата на алгоритъма на RSA и по отношение на защитата на авторските права трябва също да бъде лицензиран от RSA Data Security Inc. Второто е, че разпределените програми са нечувствителни към намеса в работата им, следователно с помощта на специален криптовирус можете лесно да получите таен ключ за генериране на електронен подпис.

В заключение бих искал да отбележа със съжаление, че в нашата страна практически няма регулаторна и методологична база, с помощта на която би било възможно разумно да се сравнят предложените системи за защита на информацията и да се изберат най-оптималните решения.

ОАО "ВОЛЖЕН УНИВЕРСИТЕТ НА ИМЕТО НА В.Н. ТАТИЩЕВА "

ФАКУЛТЕТ ПО ИНФОРМАТИКА И ТЕЛЕКОМУНИКАЦИИ

Катедра Информатика и системи за управление

КУРСОВА РАБОТА

по дисциплина: "Методи и средства за защита на компютърната информация"

тема: " Защита на комуникационните канали»

Ученик от група IS-506

А. А. Утятников

учител:

М.В. Самохвалова

Толиати 2007г

Въведение

Защита на информацията в комуникационните канали и създаване на защитени телекомуникационни системи

Отдалечен достъп до информационни ресурси. Защита на информацията, предавана по комуникационни канали

1 Решения, базирани на сертифицирани крипто шлюзове

2 Решения, базирани на IPSec протокол

Технологии за информационна сигурност в информационните и телекомуникационни системи (ИТС)

Заключение

Въведение

Защитата (сигурността) на информацията е неразделна част от общия проблем на информационната сигурност, ролята и значението на която във всички сфери на живота и дейността на обществото и държавата непрекъснато нараства на настоящия етап.

Производство и управление, отбрана и комуникации, транспорт и енергетика, банкиране, финанси, наука и образование, медиите са все по-зависими от интензивността на обмена на информация, пълнотата, навременността, надеждността и сигурността на информацията.

В тази връзка проблемът за информационната сигурност стана обект на остра загриженост на ръководителите на държавни органи, предприятия, организации и институции, независимо от техните организационно-правни форми и форми на собственост.

Бързото развитие на компютърните технологии отвори безпрецедентни възможности за автоматизация на умствения труд и доведе до създаването на голям брой различни видове автоматизирани информационни и телекомуникационни и контролни системи, до появата на принципно нови, т.нар. технологии.

При разработването на подходи за решаване на проблема с компютърната и информационната сигурност винаги трябва да се изхожда от факта, че защитата на информацията и изчислителната система не е самоцел. Крайната цел на създаването на система за компютърна сигурност е да защити всички категории субекти, пряко или косвено участващи в процесите на информационно взаимодействие, от нанасяне на материални, морални или други вреди в резултат на случайни или умишлени въздействия върху информацията и нейната системи за обработка и предаване.

1. Защита на информацията в комуникационните канали и създаване на защитени

телекомуникационни системи

В контекста на нарастващите интеграционни процеси и създаването на единно информационно пространство в много организации, ЛАНИТ предлага да работи по създаването на сигурна телекомуникационна инфраструктура, която свързва отдалечените офиси на компаниите в едно цяло, както и осигуряване на високо ниво на сигурността на информационните потоци между тях.

Приложената технология на виртуалните частни мрежи дава възможност за комбиниране на географски разпределени мрежи, като се използват както защитени специализирани канали, така и виртуални канали, преминаващи през глобални публични мрежи. Последователният и систематичен подход към изграждането на защитени мрежи включва не само защита на външните комуникационни канали, но и ефективна защита на вътрешните мрежи чрез идентифициране на затворени вътрешни VPN вериги. По този начин използването на VPN технологията ви позволява да организирате сигурен потребителски достъп до Интернет, да защитите сървърните платформи и да решите проблема с сегментирането на мрежата в съответствие с организационната структура.

Защитата на информацията по време на предаване между виртуални подмрежи се осъществява с помощта на асиметрични ключови алгоритми и електронен подпис, който предпазва информацията от фалшифициране. Всъщност данните, подлежащи на междусегментно предаване, се кодират на изхода от една мрежа и се декодират на входа на друга мрежа, докато алгоритъмът за управление на ключовете гарантира тяхното сигурно разпределение между крайните устройства. Цялото манипулиране на данни е прозрачно за приложения, работещи в мрежата.

2. Отдалечен достъп до информационни ресурси. Защита

информация, предавана по комуникационни канали

При взаимодействие между географски отдалечени обекти на една компания възниква задачата да се гарантира сигурността на обмена на информация между клиенти и сървъри на различни мрежови услуги. Подобни проблеми възникват в безжичните локални мрежи (WLAN), както и когато отдалечените абонати имат достъп до ресурсите на корпоративната информационна система. Неоторизирано свързване към комуникационни канали и осъществяване на прихващане (прослушване) на информация и модифициране (подмяна) на предаваните по канали данни (пощенски съобщения, файлове и др.) тук се разглежда като основна заплаха.

За защита на данните, предавани по посочените комуникационни канали, е необходимо да се използват подходящи средства за криптографска защита. Крипто трансформациите могат да се извършват както на ниво приложение (или на нивата между приложните протоколи и TCP/IP протокола), така и на мрежово ниво (трансформиране на IP пакети).

При първия вариант криптирането на информация, предназначена за транспортиране по комуникационен канал през неконтролирана територия, трябва да се извърши на изпращащия възел (работна станция - клиент или сървър), а декриптирането - на приемащия възел. Тази опция включва извършване на значителни промени в конфигурацията на всяка взаимодействаща страна (свързване на инструменти за криптографска защита към приложни програми или комуникационната част на операционната система), което по правило изисква големи разходи и инсталиране на подходящи инструменти за защита за всеки възел на локалната мрежа. Решенията на тази опция включват протоколите SSL, S-HTTP, S/MIME, PGP/MIME, които осигуряват криптиране и цифров подпис на пощенски съобщения и съобщения, предавани по протокола http.

Вторият вариант включва инсталирането на специални инструменти, които извършват крипто-трансформации в точките на свързване на локални мрежи и отдалечени абонати към комуникационни канали (обществени мрежи), преминаващи през неконтролирана територия. При решаването на този проблем е необходимо да се осигури необходимото ниво на защита на криптографските данни и минималните възможни допълнителни закъснения по време на тяхното предаване, тъй като това означава тунелиране на предавания трафик (добавяне на нов IP хедър към тунелирания пакет) и използване на алгоритми за криптиране на различни силни страни. Поради факта, че средствата, осигуряващи криптографски трансформации на мрежово ниво, са напълно съвместими с всички приложни подсистеми, работещи в корпоративната информационна система (те са „прозрачни“ за приложения), те се използват най-често. Ето защо ще се спрем по-нататък на тези средства за защита на информацията, предавана чрез комуникационни канали (включително чрез обществени мрежи, например Интернет). Трябва да се има предвид, че ако средствата за криптографска защита на информацията се планират за използване в държавни агенции, тогава въпросът за техния избор трябва да се реши в полза на продукти, сертифицирани в Русия.

.1 Решения, базирани на сертифицирани крипто шлюзове

За да приложите втория вариант и да осигурите поверителността и надеждността на информацията, предавана между обектите на компанията чрез комуникационни канали, можете да използвате сертифицирани крипто шлюзове (VPN шлюзове). Например Континент-К, VIPNet ТУНЕЛ, ЗАСТАВА-Офис на фирмите НИП "Информзашита", Инфотекс, Елвис +. Тези устройства осигуряват криптиране на предаваните данни (IP пакети) в съответствие с GOST 28147-89, както и скриват структурата на локалната мрежа, защитават от външна намеса, маршрутен трафик и са сертифицирани от Държавната техническа комисия на Руската федерация и ФСБ (FAPSI).

Крипто шлюзовете позволяват на отдалечените абонати да осигурят сигурен достъп до ресурсите на корпоративната информационна система (фиг. 1). Достъпът се осъществява с помощта на специален софтуер, който е инсталиран на компютъра на потребителя (VPN клиент) за сигурно взаимодействие между отдалечени и мобилни потребители с крипто шлюз. Софтуерът за крипто-шлюз (сървър за достъп) идентифицира и удостоверява потребителя и комуникира с ресурсите на защитената мрежа.

Фигура 1. – „Отдалечен достъп чрез защитен канал с

използвайки крипто шлюз "

С помощта на крипто шлюзове можете да създавате виртуални защитени канали в публични мрежи (например Интернет), гарантиращи поверителността и надеждността на информацията, и да организирате виртуални частни мрежи (Virtual Private Network - VPN), които са комбинация от локални мрежи или отделни компютри, свързани към публична мрежа.използване в единна защитена виртуална мрежа. За управлението на такава мрежа обикновено се използва специален софтуер (контролен център), който осигурява централизирано управление на локалните политики за сигурност на VPN клиенти и крипто шлюзове, изпраща им ключова информация и нови данни за конфигурация и поддържа системни логове. Крипто шлюзовете могат да се доставят като софтуерни решения, както и като хардуерни и софтуерни системи. За съжаление, повечето от сертифицираните крипто шлюзове не поддържат протокола IPSec и следователно са функционално несъвместими с хардуерни и софтуерни продукти на други производители.

.2 IPSec решения

IP Security (IPSec) е основният протокол за изграждане на системи за сигурност на мрежово ниво, представлява набор от отворени международни стандарти и се поддържа от повечето доставчици на решения за защита на мрежова инфраструктура. Протоколът IPSec ви позволява да организирате на мрежово ниво потоци от защитени и автентични данни (IP пакети) между различни взаимодействащи принципали, включително компютри, защитни стени, рутери и предоставя:

· Удостоверяване, криптиране и целостта на предаваните данни (IP пакети);

· Защита срещу повторно предаване на пакети (replay атака);

· Създаване, автоматично актуализиране и сигурно разпространение на криптографски ключове;

· Използване на широк набор от алгоритми за криптиране (DES, 3DES, AES) и механизми за контрол на целостта на данните (MD5, SHA-1). Има софтуерни реализации на протокола IPSec, използвайки руски алгоритми за криптиране (GOST 28147-89), хеширане (GOST R 34.11-94), електронен цифров подпис (GOST R 34.10-94);

· Удостоверяване на обекти на мрежово взаимодействие на базата на цифрови сертификати.

Настоящият набор от IPSec стандарти включва базовите спецификации, определени в RFC (RFC 2401-2412, 2451). Заявката за коментари (RFC) е поредица от документи от Internet Engineering Task Force (IETF), започнала през 1969 г., които описват пакета от интернет протоколи. Архитектурата на системата е дефинирана в RFC 2401 "Архитектура на сигурността за интернет протокол", а основните спецификации на протокола в следните RFC:

· RFC 2402 "IP Authentication Header" - спецификация на протокола AH, който гарантира целостта и удостоверяването на източника на предаваните IP пакети;

· RFC 2406 "IP Encapsulating Security Payload" е спецификация на ESP протокол, която осигурява поверителност (криптиране), цялост и удостоверяване на източника на предаваните IP пакети;

· RFC 2408 „Internet Security Association and Key Management Protocol” – спецификация на протокола ISAKMP, който осигурява договаряне на параметри, създаване, модифициране, унищожаване на защитени виртуални канали (Security Association – SA) и управление на необходимите ключове;

· RFC 2409 „The Internet Key Exchange“ – спецификация на протокола IKE (включва ISAKMP), който осигурява договаряне на параметри, създаване, модифициране и унищожаване на SA, договаряне, генериране и разпространение на ключов материал, необходим за създаване на SA.

Протоколите AH и ESP могат да се използват заедно или поотделно. IPSec използва симетрични алгоритми за криптиране и свързани ключове, за да гарантира сигурни мрежови комуникации. Механизмите за генериране и разпространение на такива ключове се осигуряват от IKE протокола.

Сигурният виртуален канал (SA) е важна концепция в технологията IPSec. SA е насочена логическа връзка между две системи, поддържащи протокола IPSec, която е уникално идентифицирана от следните три параметъра:

· Индекс на параметрите за сигурност (SPI - 32-битова константа, използвана за идентифициране на различни SA с един и същ IP адрес на получателя и протокол за сигурност);

· IP-адрес на получателя на IP-пакети (IP Destination Address);

· Протокол за сигурност (Security Protocol - един от протоколите AH или ESP).

Като пример, Фигура 2 показва решение за защитен канал за отдалечен достъп, базирано на Cisco Systems IPsec. На компютъра на отдалечения потребител е инсталиран специален софтуер Cisco VPN Client. Има версии на този софтуер за различни операционни системи - MS Windows, Linux, Solaris.

Фигура 2. – „Отдалечен достъп чрез защитен канал с

с помощта на VPN концентратор "

VPN клиентът взаимодейства с концентратора Cisco VPN Series 3000 и създава защитена връзка, наречена IPSec тунел, между компютъра на потребителя и частната мрежа зад VPN концентратора. VPN концентраторът е устройство, което прекратява IPSec тунели от отдалечени потребители и управлява установяването на защитени връзки към VPN клиенти, инсталирани на компютрите на потребителите. Недостатъците на това решение включват липсата на поддръжка от Cisco Systems за руски алгоритми за криптиране, хеширане и електронен цифров подпис.

3. Технологии за информационна сигурност в информацията и

телекомуникационни системи (ITS)

телекомуникационна защита информационен канал комуникация

Ефективната поддръжка на процесите на публичната администрация с използване на средства и информационни ресурси (IRR) е възможна само ако системата притежава свойството "сигурност", което се осигурява от внедряването на интегрирана система за защита на информацията, включваща основните компоненти за защита - контрол на достъпа. система за ИТС обекти, система за видеонаблюдение и система за информационна сигурност.

Крайъгълният камък на интегрираната система за защита е система за информационна сигурност, чиито концептуални положения следват от особеностите на системата и съставляващите я подсистеми и концепцията за „защитена“ система, която може да се формулира по следния начин:

Защитената ИТС е информационна и телекомуникационна система, която осигурява стабилно изпълнение на целевата функция в рамките на даден списък от заплахи за сигурността и модел на действие на нарушител.

Списъкът на заплахите за сигурността и моделът на действията на нарушителя се определя от широк набор от фактори, включително оперативния процес на ИТС, възможни грешни и неоторизирани действия на персонала по поддръжката и потребителите, повреди и повреди на оборудването, пасивни и активни действия на нарушители.

При изграждането на ИТС е препоръчително публичните органи (OGV) да вземат предвид три основни категории заплахи за информационната сигурност, които могат да доведат до нарушаване на основната целева функция на системата - ефективна поддръжка на процесите на публичната администрация:

Неизправности и повреди в хардуера на системата, аварийни ситуации и др. (събития без човешко участие);

· Грешни действия и неволни неразрешени действия на обслужващия персонал и абонатите на системата;

Неразрешените действия на нарушителя могат да се отнасят до пасивни действия (прихващане на информация в комуникационния канал, прихващане на информация в канали за технически течове) и до активни действия (прихващане на информация от медиите с явно нарушение на правилата за достъп до информационни ресурси, изкривяване на информацията в комуникационния канал, изкривяване, включително унищожаване на информация в медиите с явно нарушение на правилата за достъп до информационни ресурси, въвеждане на дезинформация).

Нарушителят може да предприема и активни действия, насочени към анализиране и преодоляване на системата за информационна сигурност. Препоръчително е този тип действие да се отдели в отделна група, тъй като след като превъзмогне системата за защита, нарушителят може да извършва действия, без изрично да нарушава правилата за достъп до информационни ресурси.

В горния тип действия е препоръчително да се подчертаят възможни действия, насочени към въвеждане на хардуерни и софтуерни раздели в ИТС оборудването, което се определя преди всичко от използването на чуждо оборудване, хардуерни компоненти и софтуер.

Въз основа на анализа на ИТС архитектурата и заплахите може да се формира обща архитектура на системата за информационна сигурност, която включва следните основни подсистеми:

· Подсистема за управление на системата за информационна сигурност;

· Подсистема за сигурност в информационната подсистема;

· Подсистема за сигурност в телекомуникационната подсистема;

· Подсистема за сигурност за работа в мрежа;

· Подсистема за идентифициране и противодействие на активните действия на нарушителите;

· Подсистема за откриване и противодействие на възможни хардуерни и софтуерни отметки.

Трябва да се отбележи, че последните три подсистеми в общия случай са компоненти на втората и третата подсистеми, но като се вземат предвид характеристиките, формулирани по-горе, е препоръчително да се разглеждат като отделни подсистеми.

Основата на системата за информационна сигурност в ИТС и всяка от нейните подсистеми е Политиката за сигурност в ИТС и нейните подсистеми, чиито ключови разпоредби са изискванията за използване на следните основни механизми и средства за осигуряване на информационната сигурност:

· Идентификация и удостоверяване на абонати на ИТС, оборудване на ИТС, обработена информация;

· Контрол на информационните потоци и жизнения цикъл на информацията на базата на защитни етикети;

· Контрол на достъпа до ресурсите на ИТС въз основа на комбинация от дискреционни, задължителни и базирани на роли политики и защитна стена;

· Криптографска защита на информацията;

· Технически средства за защита;

· Организационни и охранителни мерки.

Горният списък с механизми за защита се определя от целите на системата за защита на информацията в ИТС, сред които ще отделим следните пет основни:

· Контрол на достъпа до информационните ресурси на ИТС;

· Осигуряване на поверителността на защитената информация;

· Контрол на целостта на защитената информация;

· Неотказване на достъп до информационни ресурси;

· Готовност на информационните ресурси.

Внедряването на посочените механизми и средства за защита се основава на интегрирането на хардуерни и софтуерни средства за защита в хардуера и софтуера на ИТС и обработваната информация.

Имайте предвид, че терминът "информация" в ИТС означава следните видове информация:

· Информация за потребителя (информация, необходима за управление и вземане на решения);

· Сервизна информация (информация, осигуряваща контрол на ИТС оборудването);

· Специална информация (информация, която осигурява управлението и експлоатацията на защитните средства);

· Технологична информация (информация, която осигурява внедряването на всички технологии за обработка на информация в ИТС).

В този случай всички изброени видове информация подлежат на защита.

Важно е да се отбележи, че без използването на автоматизирани контроли за системата за информационна сигурност е невъзможно да се осигури стабилна работа на системата за сигурност в географско разпределена система за обработка на информация, която взаимодейства както със защитени, така и със незащитени системи в ИТС цикъл и обработва информация с различни нива на поверителност.

Основните цели на подсистемата за управление на информационната сигурност са:

· Формиране, разпространение и отчитане на специална информация, използвана в подсистемите за защита (ключова информация, информация за парола, защитни етикети, права за достъп до информационни ресурси и др.);

· Конфигуриране и управление на средствата за информационна сигурност;

· Координиране на политиките за сигурност във взаимодействащите системи, включително специална информация;

· Мониторинг на системата за сигурност;

· Актуализиране на Политиката за сигурност в ИТС, като се отчитат различни периоди на експлоатация, въвеждане на нови технологии за обработка на информация в ИТС.

Внедряването на подсистемата за управление на информационната сигурност изисква създаването на единен център за управление, взаимодействащ с локалните центрове за управление на сигурността на телекомуникационните и информационните ИТС подсистеми, центрове за управление на информационната сигурност във взаимодействащи мрежи и агенти за информационна сигурност в обектите на системата.

Архитектурата на системата за управление на информационната сигурност трябва да бъде практически идентична с архитектурата на самата ИТС и от гледна точка на нейното изпълнение трябва да се спазват следните принципи:

· Центърът за управление на информационната сигурност и локалните контролни центрове трябва да бъдат внедрени на специален хардуер и софтуер, използвайки местни средства;

· Агентите за управление на сигурността трябва да бъдат интегрирани в хардуера и софтуера на работните станции на системата с възможност за независим контрол от тях от центъра и локалните центрове.

Подсистемата за сигурност на информацията в информационната подсистема ИТС е една от най-сложните подсистеми както по отношение на защитните механизми, така и по отношение на тяхното изпълнение.

Сложността на тази подсистема се определя от факта, че именно в тази подсистема се извършва по-голямата част от обработката на информация, докато тя концентрира основните ресурси за достъп до информацията на абонатите на системата - абонатите директно имат оторизиран достъп както до информацията, така и до нейната обработка функции. Ето защо в основата на тази подсистема е системата за контрол на достъпа до информация и функциите по нейната обработка.

Основният механизъм за осъществяване на разрешен достъп до информация и функциите по нейната обработка е механизъм за защита на информационните ресурси от неоторизирани действия, чиито основни компоненти са:

· Организационни и технически средства за контрол на достъпа до системни обекти, информация и функции по нейната обработка;

· Система за регистрация и отчитане на работата на системата и абонатите на системата;

· Подсистема за осигуряване на интегритет;

· Криптографска подсистема.

Основата за реализиране на отбелязаната защита е архитектурната конструкция на информационния компонент на ИТС - създаването на логически и информационно обособени обекти от информационния компонент на ИТС (банки данни, информационни и референтни комплекси, ситуационни центрове). Това ще направи възможно внедряването на криптографски независими изолирани обекти, които работят с помощта на технологията клиент-сървър и не предоставят директен достъп до съхранение на информация и функции за обработка - цялата обработка се извършва по оторизирано искане на потребителите въз основа на предоставените правомощия на тях.

За разрешено предоставяне на информационни ресурси на абонатите се използват следните методи и механизми:

· Етикети за сигурност на информацията;

· Идентификация и удостоверяване на абонатите и системното оборудване;

· Криптографска защита на информацията при съхранение;

· Криптографски контрол на целостта на информацията по време на съхранение.

При внедряване на подсистемата за сигурност в телекомуникационния компонент на ИТС е необходимо да се вземе предвид наличието на комуникационни канали както в контролирани, така и в неконтролирани територии.

Разумният начин за защита на информацията в комуникационните канали е криптографската защита на информацията в комуникационните канали на неконтролирана територия в комбинация с организационни и технически средства за защита на информацията в комуникационните канали в контролирана зона, с перспектива за преминаване към криптографска защита на информацията в всички комуникационни канали на ИТС, включително чрез използване на VPN технологични методи. Ресурс за защита на информацията в телекомуникационната подсистема (като се вземе предвид наличието на нарушители със законен достъп до телекомуникационни ресурси) е разграничаването на достъпа до телекомуникационните ресурси с регистрацията на информационните потоци и правилата за работа на абонатите.

Типично решение за защита на информацията в комуникационните канали е използването на абонатни и линейни защитни схеми в комбинация с алгоритмични и технически средства за защита, които осигуряват (както пряко, така и непряко) следните защитни механизми:

· Защита от изтичане на информация в комуникационни канали и технически канали;

· Контрол върху безопасността на информацията при предаване по комуникационни канали;

· Защита от възможни атаки на нарушител чрез комуникационни канали;

· Идентификация и удостоверяване на абонатите;

· Контрол на достъпа до системните ресурси.

Подсистемата за сигурност за взаимодействие в ИТС се основава на следните механизми за сигурност:

· Контрол на достъпа до ресурсите на междусистемната връзка (защитна стена);

· Идентификация и удостоверяване на абонатите (включително методи за криптографско удостоверяване);

· Идентификация и удостоверяване на информацията;

· Криптографска защита на информацията в комуникационните канали на неконтролирана територия, а в бъдеще - във всички комуникационни канали;

· Криптографска изолация на взаимодействащи системи.

От голямо значение в разглежданата подсистема е внедряването на технология за виртуални частни мрежи (VPN), чиито свойства до голяма степен решават проблемите както на защитата на информацията в комуникационните канали, така и на противодействието на атаки от нарушители от комуникационните канали.

· Една от функциите на ИТС е да взема решения за управление както на отделни ведомства и предприятия, така и на държавата като цяло на базата на аналитична обработка на информацията;

· Не е изключено наличието на нарушители сред абонатите, взаимодействащи с ИТС системите.

Подсистемата за откриване и противодействие на активните действия на нарушителя е реализирана върху два основни компонента: хардуерни и софтуерни средства за откриване и противодействие на възможни атаки на нарушител по комуникационни канали и архитектура на защитена мрежа.

Първият компонент е компонент за идентифициране на възможни атаки, предназначен да защити онези подсистеми на ИТС, в които действията на нарушител по отношение на атаки на информационни ресурси и оборудване на ИТС са по принцип възможни, вторият компонент е предназначен да изключва такива действия или значително да ги усложни.

Основните средства на втория компонент са хардуерни и софтуерни инструменти, които осигуряват прилагането на методи за защита в съответствие с технологията на виртуалните частни мрежи (VPN) както при взаимодействието на различни ИТС обекти в съответствие с тяхната структура, така и в рамките на отделни обекти и подмрежи, базирани на защитни стени или защитни стени с вградена криптографска защита.

Подчертаваме, че най-ефективното противодействие на възможни атаки се осигурява чрез криптографски средства на линейна защитна верига и криптографски шлюз за външни нарушители и средства за контрол на достъпа до информационни ресурси за легални потребители, принадлежащи към категорията на нарушителя.

Подсистемата за идентифициране и противодействие на възможни хардуерни и софтуерни резервни копия се реализира чрез набор от организационни и технически мерки при производството и експлоатацията на ИТС оборудване, което включва следните основни дейности:

· Специална проверка на оборудване и елементна база чуждестранно производство;

· Стандартизация на софтуера;

· Проверка на свойствата на елементната база, които влияят върху ефективността на защитната система;

· Проверка на целостта на софтуера с помощта на криптографски алгоритми.

Наред с други задачи, въпросът за противодействие на възможни хардуерни и софтуерни отметки се осигурява от други средства за защита:

· Линейна схема на криптографска защита, осигуряваща защита срещу активиране на възможни софтуерни отметки чрез комуникационни канали;

· Архивиране на информация;

· Резервиране (дублиране на хардуер).

Чрез ИТС на различни обекти на системата на потребителите на OGV могат да се предоставят различни услуги за пренос на информация и информационни услуги, включително:

· Защитена подсистема на документооборота;

· Центрове за сертифициране;

· Сигурна подсистема за предаване на телефонна информация, данни и организиране на видеоконференция;

· Защитена подсистема от официална информация, включително създаване и поддържане на официални уебсайтове на ръководители на федерално и регионално ниво.

Имайте предвид, че подсистемата на защитения работен поток е строго свързана с центрове за сертифициране, които осигуряват прилагането на механизма за цифров подпис.

Нека разгледаме по-подробно интегрирането на средствата за информационна сигурност в системата за електронно управление на документи, в подсистемата за предаване на телефонна информация, официалната информационна подсистема и официалния уебсайт на мениджъри от различни нива.

Основният механизъм за защита на информацията в системата за електронно управление на документи е цифровият електронен подпис, който осигурява идентификация и удостоверяване на документи и абонати, както и контрол на тяхната цялост.

Тъй като характеристиките на системата за работен поток на ITS се определят от наличието на обмен на информация между различни обекти и отдели (включително възможен обмен на информация между защитени и незащитени системи), както и от използването на различни технологии за обработка на документи в различни отдели, прилагането на сигурен работен поток, като се вземат предвид формулираните фактори, изисква следните мерки:

· Унифициране на формата на документите в различни отдели;

· Координиране на политиките за сигурност в различни отдели.

Разбира се, отбелязаните изисквания могат да бъдат частично решени чрез използване на шлюзове между взаимодействащи системи.

Центровете за сертифициране са по същество разпределена база данни, която осигурява внедряването на цифрови подписи в системата на работния процес. Неоторизиран достъп до информационните ресурси на тази база данни напълно унищожава защитното свойство на електронното управление на документи. Следователно основните характеристики на системата за информационна сигурност в сертифициращите центрове са:

· Управление на достъпа до ресурсите на базата данни на сертифициращите центрове (защита от неоторизиран достъп до ресурси);

· Осигуряване на стабилна работа на сертифициращите центрове в условия на възможни повреди и откази, аварийни ситуации (защита от унищожаване на информацията от базата данни).

Внедряването на тези механизми може да се извърши на два етапа: на първия етап механизмите за защита се изпълняват с помощта на организационни и технически мерки за защита и мерки за сигурност, включително използването на национална сертифицирана операционна система, а на втория етап - методи за криптографска защита са интегрирани в хардуера и софтуера по време на съхранение и обработка на информация за сертифициращите центрове.

Функциите за защита на различни видове трафик, предаван в ITS (телефонен трафик, трафик на данни и видеоконферентна връзка), могат да бъдат разделени на два класа:

· Характеристики на защита на абонатното оборудване, които се определят от необходимостта от защита на информация от различни видове, включително едновременно (видео информация и реч и евентуално данни), както и необходимостта от защита на информация от различни видове от изтичане в технически канали.

· Характеристики за сигурност на оборудването на определен тип система за предаване на информация, които се определят от необходимостта от защита срещу неоторизиран достъп до телефонни услуги, предаване на данни, конферентни разговори и неговите ресурси.

За тези класове основните защитни механизми са:

· Технически средства за защита на информация от изтичане в технически канали, реализирани със стандартни средства;

· Контрол на достъпа до ресурси, осигуряващ организация на комуникация от различен тип, която се основава на идентифициране и удостоверяване на възможни връзки на различни потребители и оборудване към комуникационно оборудване.

Характеристика на защитената подсистема на официалната информация е наличието на информационни потоци в две посоки - от ИТС към външни системи, включително отделни граждани на страната, както и от външни системи към ИТС (обмен на информация с незащитени обекти).

Въз основа на информацията, идваща от външни системи, решенията се разработват в интерес както на отделни организации, ведомства и региони, така и на държавата като цяло, а изпълнението на решенията, взети на всички нива на управление, зависи от информацията, получена от външните системи.

Следователно в първия случай основните изисквания за функционирането на системата от гледна точка на нейната сигурност са целостта на предоставената информация, бързината на предоставяне на информация, включително нейното актуализиране, надеждността на източника на информация и контрол на предоставянето на информация до получателя.

Във втория случай - надеждността на предоставената информация, надеждността на източника на информация, бързината на предаването на информацията, както и контрола върху предаването на информацията до получателя. По принцип изброените изисквания се осигуряват от стандартни защитни механизми (криптографски методи за контрол на целостта на информацията, идентификация и удостоверяване на абонати и информация).

Отличителна черта, характерна за тази подсистема, е необходимостта да се контролира надеждността на информацията, идваща от външни системи и която е изходен материал за вземане на решения, включително в интерес на държавата. Тази задача се решава с помощта на аналитични методи за контрол на надеждността на информацията, осигуряване на стабилност на разработените решения в случай на получаване на неточна информация и организационни и технически мерки, които осигуряват потвърждение на входящата информация.

Основните цели на системата за защита на информацията на уебсайта на ръководителите на федерално и регионално ниво са да изключи информация на уебсайта, която не е предназначена за това, както и да осигури целостта на информацията, представена на уебсайта.

Основният защитен механизъм, внедрен на сайта, трябва да осигурява контрол на достъпа до сайта от страната на вътрешната система, която предоставя информация на сайта, както и контрол на достъпа от външни системи до ресурсите на сайта.

Внедряването на защита се основава на създаването на "демилитаризирана" зона на базата на защитни стени (шлюзове), които осигуряват:

Филтриране на информация в посока от вътрешната система към сайта с контрол на достъпа до сайта от вътрешната система (идентификация и удостоверяване на източника на информация) и филтриране на информация чрез защитни етикети;

Следене на целостта на информационните ресурси на сайта и осигуряване на стабилна работа на сайта в условия на възможно изкривяване на информацията;

контрол на достъпа от външни системи до ресурсите на сайта;

филтриране на заявки, идващи към сайта от външни системи.

Един от най-важните въпроси при решаването на проблемите със сигурността на информацията е подобряването на нормативната уредба по отношение на информационната сигурност.

Необходимостта от подобряване на регулаторната рамка се определя от два основни фактора - наличието на обмен на информация между различните отдели, наличието на голям брой видове и видове информация, циркулираща в ИТС.

По отношение на гарантирането на сигурността на информацията в ИТС, усъвършенстването на регулаторната рамка следва да се извърши в следните области:

· Създаване на унифицирани изисквания за осигуряване на сигурността на информацията и на тяхна основа единна концепция за сигурност, която осигурява възможност за хармонизиране на политиките за сигурност в различните отдели и ИТС като цяло, включително различни периоди на експлоатация;

· Създаване на единен стандарт за документална информация, осигуряващ внедряване на унифицирани етикети за сигурност и намаляване на разходите за излъчване на документи при междуведомствено взаимодействие;

· Създаване на условия за междуведомствено взаимодействие, осигуряващи постоянен мониторинг на информационната сигурност при междуведомствено сътрудничество.

Заключение

В тази курсова работа бяха разгледани следните принципи:

· Архитектурата на ИТС и основните технологии за обработка на информация в ИТС трябва да бъдат създадени, като се вземе предвид еволюционният преход към вътрешни инструменти за развитие;

· Автоматизирани работни станции на системата за информационна сигурност на ИТС трябва да бъдат създадени на хардуерна и софтуерна платформа на местното производство (компютри с домашен монтаж, домашна операционна система, домашен софтуер);

· Архитектурата на ИТС и основните технологии за обработка на информация в ИТС трябва да бъдат създадени, като се вземе предвид възможността за използване на първия етап на съществуващите хардуерни и софтуерни средства за защита с последваща замяна с обещаващи средства за защита на информацията.

Изпълнението на тези изисквания ще осигури приемственост и определена ефективност на защитата на информацията в преходния период от използването на технологии за обработка на информация в ИТС в комбинация с технологии за защита на информацията към използването на защитени технологии за обработка на информация в ИТС.

Библиография

1. Константин Кузовкин. Отдалечен достъп до информационни ресурси. Удостоверяване. // Директор на Информационна служба - 2003 - №9.

2. Константин Кузовкин. Сигурна платформа за уеб приложения. // Отворени системи - 2001 - №4.

Алексей Лукацки. Неизвестен VPN. // Компютър-Преса - 2001 - №10.

Интернет ресурси: http://www.niia.ru/document/Buk_1, www.i-teco.ru/article37.html.