7. Методы и средства защиты информации от нсд

Проблему безопасности компьютеров и компьютерных сетей надуманной назвать никак нельзя. Как показывает практика, чем больше и масштабнее сеть и чем более ценная информация доверяется подключенным к ней компьютерам, тем больше нахо­дится желающих нарушить ее нормальное функционирование ради материальной вы­годы, просто по незнанию или из праздного любопытства. Эти атаки не знают государ­ственных границ. В Internet — самой крупной компьютерной сети в мире -, впрочем как и в любой другой, идет постоянная виртуальная война, в ходе которой организо­ванности системных администраторов противостоит изобретательность компьютер­ных взломщиков. Атаки на компьютерные системы возникают подобно волнам цуна­ми и сметают все защитные барьеры, очень часто оставляя после себя только впавшие в паралич компьютеры, зависшие серверы или опустошенные винчестеры.

Стандартность архитектурных принципов построения, оборудования и программ­ного обеспечения персональных компьютеров, высокая мобильность программного обеспечения и ряд других признаков определяют сравнительно легкий доступ профес­сионала к информации, находящейся в персональном компьютере.

Особенности защиты персональных компьютеров обусловлены спецификой их ис­пользования. Как правило, компьютером пользуется ограниченное число пользовате­лей. Компьютеры могут работать как в автономном режиме, так и в составе локаль­ных сетей (сопряженными с другими компьютерами), подключаясь к удаленному компьютеру или локальной сети с помощью модема по линии связи.

Если персональным компьютером пользуется группа пользователей, то может воз­никнуть необходимость в разграничении их доступа к информации, особенно если на нем обрабатывается конфиденциальная, а тем более секретная информация.

Любая информация, которая функционирует в компьютерах и компьютерных се­тях, содержит определенное смысловое содержание и прикреплена к конкретному носителю: файлу, полю базы данных, данные любого программного приложения. Оче­видно, что носителем информации являются также каталог, жесткий диск персональ­ного компьютера или сервера, на котором хранится файл, база данных и т. п. При передаче информации от одного объекта другому носителем информации на какое-то время становится канал ее передачи. Также следует учитывать, что защиты требу­ет не только сама информация, но и среда ее обработки, то есть программное обес­печение.

Несанкционированный доступ к информации — это незапланированное ознакомление, обработка, копирова­ние, применение различных вирусов, в том числе разру­шающих программные продукты, а также модификация или уничтожение информации в нарушение установлен­ных правил разграничения доступа.

Поэтому, в свою очередь, защита информации от не­санкционированного доступа призвана не допустить зло­умышленника к носителю информации. В защите инфор­мации компьютеров и сетей от НСД можно выделить три основных направления:

–        ориентируется на недопущение нарушителя к вычис­лительной среде и основывается на специальных технических средствах опоз­навания пользователя;

–        связано с защитой вычислительной среды и основывается на создании специаль­ного программного обеспечения;

–        связано с использованием специальных средств защиты информации компьюте­ров от несанкционированного доступа.

Следует иметь в виду, что для решения каждой из задач применяются как различ­ные технологии, так и различные средства. Требования к средствам защиты, их харак­теристики, функции ими выполняемые и их классификация, а также термины и опре­деления по защите от несанкционированного доступа приведены в руководящих документах Государственной технической комиссии:

–        «Автоматизированные системы. Защита от несанкционированного доступа к ин­формации. Классификация АС и требования по защите информации»;

–        «Средства вычислительной техники. Защита от несанкционированного доступа к информации. Показатели защищенности от несанкционированного доступа к информации»;

–        «Защита от несанкционированного доступа к информации. Термины и определения». Технические средства, реализующие функции защиты можно разделить на:

o       встроенные;

o       внешние.

К встроенным средствам защиты персонального компьютера и программного обес­печения (рис. 3.12) относятся средства парольной защиты BIOS, операционной систе­мы, СУБД. Данные средства могут быть откровенно слабыми — BIOS с паролем су­первизора, парольная защита Win95/98, но могут быть и значительно более стойкими — BIOS без паролей супервизора, парольная защита Windows NT, СУБД ORACLE. Ис­пользование сильных сторон этих средств позволяет значительно усилить систему защиты информации от НСД.

Внешние средства призваны подменить встроенные средства с целью усиления за­щиты, либо дополнить их недостающими функциями.

К ним можно отнести:

–        аппаратные средства доверенной загрузки;

–        аппаратно-программные комплексы разделения полномочий пользователей на доступ;

–        средства усиленной аутентификации сетевых соединений.

Аппаратные средства доверенной загрузки представляют собой изделия, иногда называ­емые «электронным замком», чьи функции заключаются в надежной идентификации пользо­вателя, а также в проверке целостности программного обеспечения компьютера. Обычно это плата расширения персонального компьютера, с необходимым программным обеспече­нием, записанным либо во Flash-память платы, либо на жесткий диск компьютера.

Принцип их действия простой. В процессе загрузки стартует BIOS и платы защиты от НСД. Он запрашивает идентификатор пользователя и сравнивает его с хранимым во Flash-памяти карты. Идентификатор дополнительно можно защищать паролем. Затем стартует встроенная операционная система платы или компьютера (чаще всего это ва­риант MS-DOS), после чего стартует программа проверки целостности программного обеспечения. Как правило, проверяются системные области загрузочного диска, загру­зочные файлы и файлы, задаваемые самим пользователем для проверки. Проверка осу­ществляется либо на основе имитовставки алгоритма ГОСТ 28147-89, либо на основе функции хэширования алгоритма ГОСТ Р 34.11-34 или иного алгоритма. Результат про­верки сравнивается с хранимым во Flash-памяти карты. Если в результате сравнения при проверке идентификатора или целостности системы выявится различие с эталоном, то плата заблокирует дальнейшую работу, и выдаст соответствующее сообщение на эк­ран. Если проверки дали положительный результат, то плата передает управление пер­сональному компьютеру для дальнейшей загрузки операционной системы.

Все процессы идентификации и проверки целостности фиксируются в журнале. Достоинства устройств данного класса — их высокая надежность, простота и невысо­кая цена. При отсутствии многопользовательской работы на компьютере функций за­щиты данного средства обычно достаточно.

Аппаратно-программные комплексы разделения полномочий на доступ используются в случае работы нескольких пользователей на одном компьютере, если встает задача разделе­ния их полномочий на доступ к данным друг друга. Решение данной задачи основано на: 01 запрете пользователям запусков определенных приложений и процессов; Q разрешении пользователям и запускаемым ими приложениям лишь определен­ного типа действия с данными.

Реализация запретов и разрешений достигается различными способами. Как пра­вило, в процессе старта операционной системы запускается и программа защиты от несанкционированного доступа. Она присутствует в памяти компьютера, как резиден­тный модуль и контролирует действия пользователей на запуск приложений и обра­щения к данным. Все действия пользователей фиксируются в журнале, который досту­пен только администратору безопасности. Под средствами этого класса обычно и понимают средства защиты от несанкционированного доступа. Они представляют со­бой аппаратно-программные комплексы, состоящие из аппаратной части — платы до­веренной загрузки компьютера, которая проверяет теперь дополнительно и целост­ность программного обеспечения самой системы защиты от НСД на жестком диске, и программной части — программы администратора, резидентного модуля. Эти про­граммы располагаются в специальном каталоге и доступны лишь администратору. Дан­ные системы можно использовать и в однопользовательской системе для ограничения пользователя по установке и запуску программ, которые ему не нужны в работе.

Средства усиленной аутентификации сетевых соединений применяются в том слу­чае, когда работа рабочих станций в составе сети накладывает требования для защиты ресурсов рабочей станции от угрозы несанкционированного проникновения на рабо­чую станцию со стороны сети и изменения либо информации, либо программного обес­печения, а также запуска несанкционированного процесса. Защита от НСД со сторо­ны сети достигается средствами усиленной аутентификации сетевых соединений. Эта технология получила название технологии виртуальных частных сетей.

Одна из основных задач защиты от несанкционированного доступа — обеспечение на­дежной идентификации пользователя (рис. 3.13) и возможности проверки подлинности лю­бого пользователя сети, которого можно однозначно идентифицировать по тому, что он:

–        знает;

–        имеет;

–        из себя представляет.

Что знает пользователь? Свое имя и пароль. На этих знаниях основаны схемы па­рольной идентификации. Недостаток этих схем — ему необходимо запоминать слож­ные пароли, чего очень часто не происходит: либо пароль выбирают слабым, либо его просто записывают в записную книжку, на листок бумаги и т. п. В случае использова­ния только парольной защиты принимают надлежащие меры для обеспечения управ­лением создания паролей, их хранением, для слежения за истечением срока их ис­пользования и своевременного удаления. С помощью криптографического закрытия паролей можно в значительной степени решить эту проблему и затруднить злоумыш­леннику преодоление механизма аутентификации.

Что может иметь пользователь? Конечно же, специальный ключ — уникальный идентификатор, такой, например, как таблетка touch memory (I-button), e-token, смарт-карта, или криптографический ключ, на котором зашифрована его запись в базе дан­ных пользователей. Такая система наиболее стойкая, однако, требует, чтобы у пользо­вателя постоянно был при себе идентификатор, который чаще всего присоединяют к брелку с ключами и либо часто забывают дома, либо теряют. Будет правильно, если утром администратор выдаст идентификаторы и запишет об этом в журнале и примет их обратно на хранение вечером, опять же сделав запись в журнале.

Что же представляет собой пользователь? Это те признаки, которые присущи толь­ко этому пользователю, только ему, обеспечивающие биометрическую идентификацию. Идентификатором может быть отпечаток пальца, рисунок радужной оболочки глаз, от­печаток ладони и т. п. В настоящее время — это наиболее перспективное направление развития средств идентификации. Они надежны и в то же время не требуют от пользова­теля дополнительного знания чего-либо или постоянного владения чем-либо. С развити­ем технологи и стоимость этих средств становится доступной каждой организации.

Гарантированная проверка личности пользователя является задачей различных механизмов идентификации и аутентификации.

Каждому пользователю (группе пользователей) сети назначается определенный отличительный признак — идентификатор и он сравнивается с утвержденным переч­нем. Однако только заявленный идентификатор в сети не может обеспечить защиту от несанкционированного подключения без проверки личности пользователя.

Процесс проверки личности пользователя получил название — аутентификации. Он происходит с помощью предъявляемого пользователем особого отличительного при­знака — аутентификатора, присущего именно ему. Эффективность аутентификации оп­ределяется, прежде всего, отличительными особенностями каждого пользователя.

Конкретные механизмы идентификации и аутентификации в сети могут быть реа­лизованы на основе следующих средств и процедур защиты информации:

–        пароли;

–        технические средства;

–        средства биометрии;

–        криптография с уникальными ключами для каждого пользователя.

Вопрос о применимости того или иного средства решается в зависимости от выяв­ленных угроз, технических характеристик защищаемого объекта. Нельзя однозначно утверждать, что применение аппаратного средства, использующего криптографию, придаст системе большую надежность, чем использование программного.

Анализ защищенности информационного объекта и выявление угроз его безопас­ности — крайне сложная процедура. Не менее сложная процедура — выбор техноло­гий и средств защиты для ликвидации выявленных угроз. Решение данных задач луч­ше поручить специалистам, имеющим богатый опыт.

Парольная защита операционных систем

Контроль доступа, основанный на обладании специфической информацией, наибо­лее распространен. Он характеризуется тем, что правом доступа обладают лишь те, кто способен продемонстрировать знание определенного секрета, обычно пароля. Это самый простой и дешевый метод защиты любой компьютерной системы. Поскольку его использование не требует больших затрат времени, сил и места в памяти компью­тера, то он применяется даже в тех компьютерах, которые вовсе не нуждаются в сред­ствах защиты. Кроме того, владение паролем дает пользователю ощущение психоло­гического комфорта. Более того, это широко используется в системах, уже защищенных другими средствами — магнитными картами или иными программными средствами, типа шифрования, что в еще большей степени повышает уровень защиты от несанкци­онированного доступа.

До настоящего времени единственным средством защиты компьютерной сети от несанкционированного доступа была парольная система. При стандартной процедуре входа в сеть каждый пользователь должен знать свое сетевое имя и сетевой пароль. Администратор, назначающий эти атрибуты, как правило, не применяет случайных или плохо запоминаемых последовательностей символов, поскольку это может при­вести к тому, что сетевое имя и пароль могут быть записаны на какой-либо носитель (бумагу, дискету и т. п.), что может привести к утечке секретного пароля и имени пользователя.

Пароли, как правило, рассматриваются в качестве ключей для входа в систему, но они используются и для других целей: блокирование записи на дисковод, в командах на шифрование данных, то есть во всех тех случаях, когда требуется твердая уверен­ность, что так действовать будут только законные владельцы или пользователи про­граммного обеспечения.

И по сей день во многих случаях для злоумышленника основным (иногда един­ственным) защитным рубежом против атак в компьютерной сети остается система парольной защиты, которая есть во всех современных операционных системах. В со­ответствии с установившейся практикой перед началом сеанса работы с операцион­ной системой пользователь обязан зарегистрироваться, сообщив ей свое имя и пароль. Имя нужно операционной системе для идентификации пользователя, а пароль служит подтверждением правильности произведенной идентификации. Информация, введен­ная пользователем в диалоговом режиме, сравнивается с той, которая имеется в рас­поряжении операционной системы. Если провер­ка дает положительный результат, то пользователю будут доступны все ресурсы операционной систе­мы, связанные с его именем.

Трудно представить, что сегодня какому-нибудь злоумышленнику может прийти в голову шальная мысль о том, чтобы попытаться подобрать имя и пароль для входа в операционную систему, по оче­реди перебирая в уме, все возможные варианты и вводя их с клавиатуры. Скорость такого подбора пароля будет чрезвычайно низкой, тем более, что в операционных системах с хорошо продуманной парольной защитой количество под­ряд идущих повторных вводов конкретного пользовательского имени и соответствую­щего ему пароля всегда можно ограничить двумя-тремя и сделать так, что если это число будет превышено, то вход в систему с использованием данного имени блокиру­ется в течение фиксированного периода времени или до прихода системного админис­тратора.

Поэтому чаще используют более опасный и гораздо более эффективный метод взло­ма парольной защиты операционной системы, при использовании которого атаке под­вергается системный файл, содержащий информацию о ее легальных пользователях и их паролях.

Однако любая современная операционная система надежно защищает пользова­тельские пароли, которые хранятся в этом файле при помощи шифрования. Доступ к таким файлам по умолчанию запрещен, как правило, даже для системных администра­торов, не говоря уже о рядовых пользователях. Иногда злоумышленнику удается пу­тем различных ухищрений получить в свое распоряжение файл с именами пользователей и их зашифрованными паролями. И тогда ему на помощь приходят специализированные программы — парольные взломщики, которые и служат для взло­ма паролей операционных систем. Как же действуют эти программы?

Криптографические алгоритмы, применяемые для шифрования паролей пользова­телей в современных операционных системах, в подавляющем большинстве случаев слишком стойкие для того, чтобы можно было надеяться отыскать методы их дешиф­ровки, которые окажутся более эффективными, чем тривиальный перебор возможных вариантов. Поэтому парольные взломщики иногда просто шифруют все пароли с ис­пользованием того же самого криптографического алгоритма, который применяется для их засекречивания в атакуемой операционной системе, и сравнивают результаты шифрования с тем, что записано в системном файле, где находятся шифрованные па­роли ее пользователей. При этом в качестве вариантов паролей парольные взломщики используют символьные последовательности, автоматически генерируемые из неко­торого набора символов. Данным способом можно взломать все пароли, если извест­но их представление в зашифрованном виде, и они содержат только символы из этого набора. Максимальное время, требуемое для взлома пароля, зависит от числа симво­лов в наборе, предельной длины пароля и от производительности компьютера, на ко­тором производится взлом ее парольной защиты (зависит от операционной системы и быстродействия).

С увеличением числа символов в исходном наборе, число перебираемых комбина­ций растет экспоненциально, поэтому такие атаки парольной защиты операционной системы могут занимать слишком много времени. Однако хорошо известно, что боль­шинство пользователей операционных систем не затрудняют себя выбором стойких паролей (т. е. таких, которые трудно взломать). Поэтому для более эффективного под­бора паролей парольные взломщики обычно используют так называемые словари, представляющие собой заранее сформированный список слов, наиболее часто приме­няемых в качестве паролей.

Для каждого слова из словаря парольный взломщик использует одно или несколь­ко правил. В соответствии с этими правилами слово изменяется и порождает допол­нительное множество опробуемых паролей. Производится попеременное изменение буквенного регистра, в котором набрано слово, порядок следования букв в слове меняется на обратный, в начало ив конец каждого слова приписывается цифра 1, некоторые буквы заменяются на близкие по начертанию цифры (в результате, на­пример, из слова password получается pa55wOrd). Это повышает вероятность под­бора пароля, поскольку в современных операционных системах, как правило, разли­чаются пароли, набранные прописными и строчными буквами, а пользователям этих систем настоятельно рекомендуется выбирать пароли, в которых буквы чередуются с цифрами.

Противостоять таким атакам можно лишь в том случае, если использовать стойкие к взлому пароли. Перед тем как ответить на вопрос «Как правильно выбрать пароль?», рассмотрим, какие же пароли используются вообще.

Пароли можно подразделить на семь основных групп:

–        пароли, устанавливаемые пользователем;

–        пароли, генерируемые системой;

–        случайные коды доступа, генерируемые системой;

–        полуслова;

–        ключевые фразы;

–        интерактивные последовательности типа «вопрос-ответ»;

–        «строгие» пароли.

Первая группа наиболее распространена. Большинство таких паролей относятся к типу «выбери сам». Для лучшей зашиты от несанкционированного доступа необходи­мо использовать достаточно длинный пароль, поэтому обычно система запрашивает пароль, содержащий не менее четырех-пяти букв. Существуют также и другие меры, не позволяющие пользователю создать неудачный пароль. Например, система может настаивать на том, чтобы пароль включал в себя строчные и прописные буквы впере­мешку с цифрами; заведомо очевидные пароли, например, internet, ею отвергаются. В разных операционных системах существует немало программ, которые просматри­вают файлы, содержащие пароли, анализируют пароли пользователей и определяют, насколько они секретны. Неподходящие пароли заменяются.

Когда человек впервые загружает компьютер, и тот запрашивает у него пароль, этот пароль наверняка окажется вариантом одной из общих и актуальных для всех тем — особенно если у пользователя не хватает времени. Не считая гениев и безнадежных тупиц, все люди, когда надо принимать быстрые решения, мыслят и действуют при­мерно одинаково. И пользователи выдают первое, что приходит им в голову. А в голо­ву приходит то, что они видят или слышат в данный момент, либо то, что собираются сделать сразу же после загрузки. В результате пароль создается в спешке, а последую­щая его замена на более надежный происходит достаточно редко. Таким образом, мно­гие пароли, созданные пользователями, можно раскрыть достаточно быстро.

Случайные пароли и коды, устанавливаемые системой, бывают нескольких разно­видностей. Системное программное обеспечение может использовать полностью слу­чайную последовательность символов, вплоть до случайного выбора регистров, цифр, пунктуации длины; или же использовать ограничения в генерирующих процедурах. Создаваемые компьютером пароли могут также случайным образом извлекаться из списка обычных или ничего не значащих слов, созданных авторами программы, кото­рые образуют пароли вроде onah.foopn, или ocar-back-tfeen.

Полуслова частично создаются пользователем, а частично — каким-либо случай­ным процессом. Это значит, что если даже пользователь придумает легко угадывае­мый пароль, например, «абзац», компьютер дополнит его какой-нибудь неразберихой, образовав более сложный пароль типа «абзац,3ю37».

Ключевые фразы хороши тем, что они длинные и их трудно угадать, зато легко запомнить. Фразы могут быть осмысленными, типа «мы были обеспокоены этим» или не иметь смысла, например, «ловящий рыбу нос». Следует заметить, что в програм­мировании постепенно намечается тенденция к переходу на более широкое примене­ние ключевых фраз. К концепции ключевых фраз близка концепция кодового акрони­ма, который эксперты по защите оценивают как короткую, но идеально безопасную форму пароля. В акрониме пользователь берет легко запоминающееся предложение, фразу, строчку из стихотворения и т. п., и использует первые буквы каждого слова в качестве пароля. Например, акронимами двух приведенных выше фраз являются «мбоэ» и «лрн». Подобные нововведения в теории паролей значительно затрудняют занятия электронным шпионажем.

Интерактивные последовательности «вопрос- ответ», предлагают пользователю от­ветить на несколько вопросов, как правило, личного плана: «Девичья фамилия вашей матери?», «Ваш любимый цвет?», и т. д. В компьютере хранятся ответы на множество таких вопросов. При входе пользователя в систему компьютер сравнивает полученные ответы с «правильными». Системы с использованием «вопрос- ответ» склонны преры­вать работу пользователя каждые десять минут, предлагая отвечать на вопросы, чтобы подтвердить его право пользоваться системой. В настоящее время такие пароли почти не применяются. Когда их придумали, идея казалась неплохой, но раздражающий фак­тор прерывания привел к тому, что данный метод практически исчез из обихода.

«Строгие» пароли обычно используются совместно с каким-нибудь внешним элек­тронным или механическим устройством. В этом случае компьютер обычно с просто­душным коварством предлагает несколько вариантов приглашений, а пользователь должен дать на них подходящие ответы. Пароли этого типа часто встречаются в систе­мах с одноразовыми кодами.

Одноразовые коды — это пароли, которые срабатывают только один раз. К ним иногда прибегают, создавая временную копию для гостей, чтобы продемонстрировать потенциальным клиентам возможности системы. Они также порой применяются при первом вхождении пользователя в систему. Во время первого сеанса пользователь вводит свой собственный пароль и в дальнейшем входит в систему лишь через него. Одноразовые коды могут также применяться в системе, когда действительный пользо­ватель входит в нее в первый раз; затем вам следует поменять свой пароль на более секретный персональный код. В случаях, когда системой пользуется группа людей, но при этом нельзя нарушать секретность, прибегают к списку одноразовых кодов. Тот или иной пользователь вводит код, соответствующий 'времени, дате или дню недели.

Итак, для того чтобы пароль был действительно надежен, он должен отвечать оп­ределенным требованиям:

–        быть определенной длины;

–        включать в себя прописные и строчные буквы;

–        включать в себя одну и более цифр;

–        включать в себя один нецифровой и один неалфавитный символ.

Одно или несколько из этих правил должны обязательно соблюдаться. Необходи­мо помнить, что пароль — это самая слабая часть любой системы защиты данных, какой бы изощренной и надежной она ни была. Именно поэтому его выбору и хране­нию надо уделить должное внимание. Не стоит обольщаться и тешиться своей безо­пасностью при работе с Windows 95/98, если видите, в каком-либо диалоговом окне ваш пароль, скрытый звездочками — это защита «от дурака». С помощью крохотной программы можно посмотреть скрытый звездочками пароль, всего лишь установив курсор мыши на диалоговое окно.

Защита сети от НСД с помощью аппаратно-программных средств

С распространением Internet, электронной коммерции и удаленного доступа появ­ляется все больше разнообразных идентификационных устройств. Положительной стороной данного процесса является то, что эти устройства становятся более доступ­ными по цене, удобными в инсталляций, реализации и простыми в обращении. Это, конечно, прекрасно с точки зрения защиты, но не так уж замечательно с точки зрения администрирования. Изобилие подобных устройств означает, что администратору сети придется «дирижировать» еще большим числом компонентов.

Действенным способом, делающим вход в сеть более корректным (по соображени­ям защиты от несанкционированного доступа), является возможность избавления пользователя от обязанности запоминания перечисленных выше атрибутов. Имя и пароль могут быть записаны в память специального носителя информации — ключа-идентификатора, в качестве которого применяют, например, интеллектуальные (мик­ропроцессорные) карты или жетоны. В процессе запуска или работы защищаемое про­граммное приложение сверяет этот особый ключ с эталонным. В случае совпадения ключей программа функционирует в заданном режиме, если нет — прекращается вы­полнение операций в программе.

Несколько лет тому назад в качестве особого ключа защиты использовались неко­пируемая ключевая дискета или уникальные характеристики компьютера. В настоя­щее время для этих целей применяют более современные и удобные устройства — электронные ключи, позволяющие решать задачи обеспечения информационной безо­пасности на любом программно-аппаратном уровне. При этом электронные ключи могут иметь различные характеристики, содержать перезаписываемую энергонезави­симую память (EEPROM) и генерировать защитную фун­кцию F(x). Встроенная в программу система защиты по­лучает через ключ информацию, которая используется для аутентификации пользователя и определения набора доступных функции.

Электронные ключи имеют ряд достоинств:

–        программа или база данных привязаны не к компь­ютеру, а к ключу, через который пользователь по­лучает доступ к данным;

–        при запуске защищенная программа проверяется на наличие вирусов и несанкционированных изменений;

–        в процессе работы пользователи имеют возможность получать новые версии про-грамм при перепрограммировании ключей соответствующими администраторами.

Важнейшей частью системы защиты с использованием электронных ключей явля­ется ее программный компонент. Как правила, он включает в себя:

–        защитный «конверт» (Envelope);

–        библиотечные функции обращения к ключу API (Applications Program Interlace).

Каждый из этих способов обеспечения безопасности имеет свое назначение, но в идеале они должны применяться совместно. Системы автоматической защиты (рис. 3.14) предназначены для защиты уже готовых приложений без вмешательства в исход­ный код программы. Таким образом обеспечивается сохранность СОМ-, ЕХЕ-файлов, библиотеки DLL. Для встраивания дополнительного модуля внутрь используется «ви­русная» технология вживления и перехвата на себя управления после загрузки.

При использовании «конверта» тело программы шифруется, в нее встраивается дополнительный модуль, который в момент запуска берет управление на себя. После отработки специальных антиотладочных и антитрассировочных механизмов выполня­ются следующие действия:

–        проверка наличия «своего» электронного ключа и считывание из него требуе­мых параметров;

–        анализ «ключевых» условий и выработка решения.

Для защиты от аппаратной или программной эмуляции обмен между «конвертом» и электронным ключом выполняется с использованием зашумленного изменяющего­ся во времени («плавающего») протокола.

Некоторые «конверты» обеспечивают фоновые проверки ключа в процессе работы приложения, так что перенести ключ на другой компьютер после того как защищен­ная программа запущена, невозможно.

Функции API предназначены для выполнения низкоуровневых операций с ключом, простейшая из которых — проверка наличия ключа. Более сложные функции могут посылать ключу различные входные коды и получать от него ответные, которые затем поверяются на соответствие установленным значениям. Они также могут использо­ваться в каких-либо вычислительных операциях или при декодировании данных. Про­грамма может обращаться к ключу из различных мест, а результаты могут быть раз­бросаны по телу программы и хорошо замаскированы.

Библиотеки функций API поставляются совместно с электронными ключами HASP (Hardware Adainst Software Piracy) для различных языков программирования, компи­ляторов и т. п.

В последнее время особую важность приобретает не столько защита кода программ­ного продукта, сколько конфиденциальность содержащихся в нем данных (информа­ционного наполнения).

Для защиты от несанкционированного доступа к программам и данным широко используются криптографические системы защиты. Одна из популярных систем за­щиты программ и данных — Professional ToolKit компании Aladdin Software Security. Эта система позволяет защищать методом прозрачного шифрования практически лю­бые файлы данных: графические, текстовые, электронные таблицы и т. п. Метод про­зрачного шифрования осуществляется в среде Windows 95 с помощью электронных ключей HASP — алгоритмы кодирования/декодирования IDEA (International Data Encryption Algorithm); длина ключа — 128 бит.

Система не имеет ограничений по количеству открытых файлов и числу приложе­ний, работающих с защищенной информацией. Внутренние процедуры шифрования драйвера используют данные, содержащиеся в памяти ключа HASP (рис. 3.15), поэто­му доступ к зашифрованным файлам без него невозможен. Система поддерживает электронные ключи типа MemoHASP, TimeHASP и NetHASP, причем каждый экзем­пляр системы работает с одной серией ключей.

«Интеллектуальные» и физические возможности ключа в основном определяются базой на которой он собран. Сердцем ключа HASP является «заказной» ASIC-чип (Application Specific Integrated). Логику его функционирования практически невозмож­но реализовать с помощью стандартных наборов микросхем.

Ключ HASP позволяет использовать функцию Y = F(X), где X — посылаемое в ключ целое число в диапазоне от 0 до 65 535» a Y — возвращаемые ключом четыре целых числа из того же диапазона, уникальных для каждой серии. Использование ме­ханизма генерации чисел качественно усложняет задачу взлома, так как ключевая ин­формация (пароли, шифровальные ключи, часть самого кода и т. п.) не хранится ни в теле программы, ни в памяти ключа ни в открытом, ни в зашифрованном виде. Суще­ствует несколько модификаций ключей HASP:

–        MemoHASP — ключ с внутренней энергонезависимой памятью до 4 кбит, дос­тупной для чтения и записи; подключается к параллельному порту;

–        TimeHASP — содержит встроенные часы с автономным питанием и память до 496 байт; может использоваться для подготовки учебной или демонстрацион­ной версии программы (ограниченный срок работы), для сдачи программы в аренду или в лизинг для периодического сбора абонентской платы;

–        MacHASP — микропроцессорные ключи для защиты приложений под Macintosh;

–        NetHASP — ключ для защиты сетевых приложений; предотвращает не только нелегальное тиражирование сетевых программ, но и позволяет контролировать и ограничивать количество пользователей, одновременно работающих с защи­щенной программой в сети;

–        HASP-Card — специальная плата, встраиваемая в стандартный слот компьюте­ра, функционирует как дополнительный свободный параллельный порт; к ней может быть подключено несколько ключей HASP или ключей других типов;

–        OpenHASP — микропроцессорные ключи с памятью; предназначены для защиты платформонезависимых приложений, функционирующих на рабочих станциях;

–        PC-CardASP — модификация ключей HASP для компьютеров типа notebook. Персональные компьютеры и микропроцессорные смарт-карты (smart-card) до не­давнего времени имели не так уж много точек соприкосновения, так как развивались как бы в разных плоскостях.

Основными областями применения смарт-карт являются идентификация владельцев мобильных телефонов, банковские операции, электронные кошельки и розничные транзакции. Однако, как ожидается, этот перечень должен по­полниться защитой сети и электронной коммерцией. Признаками этой нарождающей­ся тенденции может служить поддержка смарт-карт в Windows 2000.

Х арактерная особенность таких карт — встроенный недорогой, но достаточно про­изводительный микропроцессор. В итоге появляются возможности реализации на уров­не пластиковой карты оперативных вычислений, обеспечения надлежащего уровня конфиденциальности и сохранности данных в блоках памяти, а также применения ап­паратных методов шифрования. На одной и той же карте может быть реализовано сразу несколько ключей (полномочий пользователя) к различным системным или се­тевым ресурсам (рис. 3.16), причем в каждом случае речь будет идти о соответствую­щих персональных идентификационных номерах.

Надежный контроль доступа и операций, совершаемых с различных рабочих мест, — проблема, весьма остро ощущаемая во многих областях и особенно в открытых компьютерных сетях. В идеале для защиты сетей и успешного и безопасного взаимодействии в рамках открытой сети лучше всего подходит реализация алгоритма шифрования данных с открытым ключом. Такие алгоритмы обеспе­чивают высокий уровень защиты передаваемых сообщений. При этом не представляет слож­ности процесс первичной генерации секретных ключей, а кроме того, не нужно ломать голову над тем, как безопасным способом сообщить свой секретный ключ другой стороне. Все участники сетевого общения, принявшие данный стандарт передачи сообщений, имеют возможность использовать его где и когда угодно, не боясь раскрытия каких-либо секретов.

В рамках такой технологии смарт-карта может выполнять роль криптопроцессора, генерирующего ключи, и применять самые различные алгоритмы шифрования: DES, «тройной DES», PGP, ГОСТ 28147-89 и т. п.

Среди множества компаний, выпускающих смарт-карты, выделяется RSA Security, чья смарт-карта SecurlD 3100 Smart Card поддерживает конфигурации с одним и дву­мя сертификатами и хранит мандаты пользователя. Карта может хранить два цифро­вых сертификата и регистрационную информацию о паролях пользователя.

Несмотря на все преимущества смарт-карт, их эффективность резко снижается без необходимого программного обеспечения. Карта SecurlD 3100 Smart Card работает с программным обеспечением управления ACE/Server компании RSA. Программное обеспечение служит для проверки и идентификации запросов и администрирования правил.

Пакет ActivCard Gold компании ActivCard включает смарт-карты, клиентское про­граммное обеспечение и, по желанию, считыватель смарт-карт. С помощью этого иден­тификационного пакета для настольных систем пользователи могут локально зареги­стрироваться в домене Windows NT, получить удаленный доступ, войти на корпоративный Web-сервер, а также поставить электронную подпись и зашифровать свою электронную почту.

В зависимости от вида сервиса доступ к нему может контролироваться с помощью фиксированных паролей, динамических паролей или цифровых сертификатов. Как было недавно объявлено, ActivCard Gold совместима с технологией PKI компании Baltimore Technologies.

Сматр-карты GemSAFE Enterprise компании GemPlus представляют собой комп­лект карт для реализации PKI. Клиенты получают такие возможности, как цифровая подпись на базе смарт-карт, а также шифрование электронной почты и файлов и под­держка хранения сертификатов X.509V3. Административные функции включают уда­ленную диагностику, управление картами (например, выпуск и аннулирование) и пользователями, генерацию и восстановление ключей, а также составление отчетов. Система предусматривает одноэтапный процесс персонали-зации карт.

Смарт-карта Model 33 PKI компании DataKey поддерживает 2084-разрядные клю­чи RSA и имеет память емкостью 32 кбайт. Она может использоваться для идентифи­кации в Internet, Extranet и VPN. В карте применяется технология эллиптических кривых компании Certicom, благодаря которой длина ключей и объем вычислений оказываются меньше.

Кроме того, смарт-карты предлагают и другие производители: Cylink (PrivateCard), Spyms (Rosetta Smart Card), Card Logix (M.O.S.T.), а также CyberMark и Bull Worldwide; Information Systems.

На выставке CardTech SecurTech, которая проходила в Чикаго, фирма Publicard представила новую разработку — реализованную на базе смарт-карт систему проверки паролей и идентификаторов пользователей SmartPassky.

В основу новой системы была заложена идея хранения в одном месте (то есть на смарт-карте) всех паролей, секретных URL-адресов и идентификаторов активно работающего в сети пользователя.

Как заявил представитель фирмы, система на базе единственной смарт-карты, за­щищенной с помощью одного основного ключа, представляет собой компактное и на­дежное средство доступа, сочетающее эти свойства с простотой использования закла­док Web-браузера.

Когда смарт-карта вставляется в подключаемое к персональному компьютеру спе­циальное считывающее устройство, SmartPassky выдает запрос на ввод кода доступа пользователя Internet. После ввода кода перед пользователем отображается заранее сформированный список защищенных URL-адресов. После выбора нужного Web-ад­реса SmartPassky инициирует процедуру регистрации выбранного узла и автоматичес­ки «вводит» идентификатор и пароль пользователя. Для завершения процедуры пользо­вателю остается лишь щелкнуть на соответствующем поле на экране регистрации.

Кроме смарт-карт, в качестве персонального идентификатора в системах ограниче­ния доступа используются электронные ключи-жетоны, поддерживающие контактную или бесконтактную технологию.

Жетоны представлены множеством разновидностей, отличающихся по форме и дизайну. В зависимости от таких факторов, как требования к защите, состав пользова­телей и потребность в масштабировании, они могут оказаться более предпочтитель­ным решением, чем смарт-карты. Жетоны бывают как аппаратные, так и программ­ные.

К числу производителей жетонов принадлежит компания Secure Computing. Она выпускает устройство в формате для связки ключей Safe Word Silver 2000 и Safe Word Platinum Card. Устройство поддерживает статические и динамические пароли и раз­личные платформы, такие, как Windows NT, Linux, Solaris и HP-UX. Через агентов Safe Word устройства могут также взаимодействовать с Citrix WinFrame и MetaFrame, Internet Information Server (US), NT RAS, Netscape Enterprise Server и доменами NT. Secure Computing имеет также агентов Safe Word для персональных цифровых секре­тарей Palm и мобильных телефонов компании Ericsson.

Продукт Luna САз на базе PKI компании Chrysalis-ITS обеспечивает аппаратную защиту основного ключа (root-keyprotection). Генерация, хранение, резервирование, подпись и удаление ключей доверяются сертификационным сервером (Certificate Authority, CA) уполномоченному жетону. Luna Key Cloning производит резервное копирование зашифрованных цифровых ключей с одного жетона на другой, a Luna PED обеспечивает доступ через устройство ввода персонального идентификационно­го кода PIN (Personal Identification Number).

Программы управления жетонами CryptoAdmin обеспечивают централизованную идентификацию и децентрализованное администрирование жетонов.

Продукты Digipass компании Vasco Data Security включают жетоны на базе карт, устройства в стиле калькуляторов и устройство для идентификации с использованием радиопередачи или идентификационных карт для контроля за физическим доступом и входом в сеть.

Сервер контроля доступа Vacman Optimum обеспечивает программирование/пе­репрограммирование устройств, а также управление кодами PIN. Кроме того, пакет включает Vacman Programmer 1.0, несколько устройств Digipass и Administrator

Digipass.

Другой продукт, где используются радиоволны, — VicinID Card компании First Access. Система включает датчики Vicinity Sensor, устанавливаемые на каждой рабо­чей станции, и программное обеспечение. VicinID Server идентифицирует пользовате­лей, имеющих с собой карту, и предоставляет или запрещает им доступ к конкретной рабочей станции в зависимости от их профиля доступа. Кроме того, продукт поддер­живает так называемую непрерывную идентификацию, т. е. постоянно следит за тем, что рабочей станцией пользуются те, кто имеет на это право.

В качестве недорого и эффективного персонального идентификатора в системах ограничения доступа используются электронные жетоны Touch Memory (iButton) — специализированные высоконадежные приборы производстна фирмы Dallas Semiconductor Inc. (США). С начала 1997 года Dallas Semiconductor заявила о смене названия всех своих идентификационных ключей с Touch Memory на iButton (Information Button — Таблетка с информацией), как более общее и охватывающее весь ряд изделий в настоящем и в будущем. Они представляют собой микросхему, размещенную в прочном корпусе из нержавеющей стали, по размерам и форме напо­минающем элемент питания от электронных часов (рис. 3.17). Металл представляет собой нержавеющую сталь. Диаметр диска около 17 мм, толщина 3,1 мм или 5,89 мм. Диск состоит из двух электрически разъединенных половинок. Внутри он полый. В герметичную полость заключена электронная схема на кремниевом кристалле. Выход схемы соединен с половинками диска двумя проводниками. Половинки диска образу­ют контактную часть однопроводного последовательного порта. При этом через цент­ральную часть идет линия данных, внешняя оболочка — земля. Для того чтобы про­изошел обмен информации iButton с внешними устройствами, необходимо прикоснуться обеими поверхностями половинок металли­ческого диска к контактному устройству (зон­ду), также состоящему из двух электрически не связанных, проводящих электрический ток частей.

Большая площадь поверхности контактов защищает систему от неточного совмещения при подключении по причине «человеческо­го фактора» или при автоматизированном ка­сании, когда идентификатор и зонд располо­жены на различных подвижных механизмах. Кроме того, дисковая форма корпуса направляет и очищает контакты, гарантируя надежное соединения, а закругленный край корпуса легко совмещается с зондом. Счи­тыватель электронных жетонов iButton представлен на рис. 3.18.

В ход на рабочие станции и локальные вычислительные сети осуществляется при касании считывающего устройства зарегистрированной электронной карточкой Touch Memory и вводом с нее пароля и имени пользователя. В памяти Touch Memory (iButton), применяющейся для входа в сеть, записано 64 символа сетевого имени и 64 символа сетевого пароля. Эти значения генерируются датчиком псевдослучайных чисел, за­шифровываются и записываются в iButton, оставаясь неизвестными даже пользовате­лю. Корректность выполнения процедуры регистрации пользователя в сети обеспечи­вается передачей управления стандартным сетевым средствам после аутентификации пользователя. Кроме применения электронной карты, для более жесткого контроля входа в сеть пользователь вводит личный секретный пароль. Изделие этого ряда DS1954 имеет внутри своего корпуса специальный микропроцессор для шифрования инфор­мации.

Модель DS 1957B iButton имеет память, которой достаточно для хранения всех дан­ных о личности владельца. Она работает и как обычный дверной ключ, который при­кладывается к двери и открывает электронный замок, и как компьютерный ключ для входа в защищенную компьютерную сеть и удостоверения подлинности электронной подписи.

В ключе использованы 1ауа-технологии₄ Оперативная память устройства — 134 кбайт, ПЗУ — 64 кбайт. В компьютере-ключе могут храниться свыше 30 сертифи­катов с 1042-битными ключами наиболее часто используемого стандарта ISO X.509v3. Также в памяти суперключа может содержаться несколько сотен имен пользователя с соответствующими паролями, фотография, идентифицирующая владельца, данные о пользователе, которые обычно применяются для заполнения форм в Internet (напри­мер, при совершении покупок в онлайн-магазинах), электронная подпись владельца и биометрические данные (к примеру, отпечатки пальцев)

При попытке взлома на уровне данных доступ к информации о пользователе будет блокирован встроенным защитным программным обеспечением. Если ключик будут пытаться вскрыть физически, он получит сигнал о попытке вмешательства и сотрет всю информацию прежде, чем она попадет в руки взломщикам.

Все чаще для защиты от несанкционированного доступа стали применять программ­но-аппаратные комплексы, которыми могут быть оснащены рабочие станции компьютерной сети и автономные компьютеры. В качестве примера рассмотрим комплексы защиты типа DALLAS LOCK.

Комплекс защиты DALLAS LOCK предназначен для исключения несанкциониро­ванного доступа к ресурсам компьютера и разграничения полномочий пользователей, а также для повышения надежности защиты входа в локальную сеть. Для идентифика­ции пользователей служат электронные карты Touch Memory и личные пароли.

Программно-аппаратный комплекс DALLAS LOCK for Administrator предназна­чен для работы в вычислительных сетях совместно с комплексом DALLAS LOCK и представляет собой автоматизированное рабочее место администратора безопаснос­ти. Все модификации комплекса DALLAS LOCK возможно применять для защиты бездисковых рабочих станций локальной вычислительной сети. Эти комплексы мож­но использовать с различными операционными системами.

Запрос идентификатора при входе на персональный компьютер инициируется из ПЗУ на плате защиты до загрузки операционной системы, которая осуществляется только после предъявления зарегистрированного идентификатора (электронной карты) и вводе личного пароля. Поскольку идентификатор и пароль запрашиваются до обращения к дисководам, возможность загрузки с системной дискеты полностью исключена.

При инсталляции комплекса на жесткий диск обеспечивается гибкая настройка аппаратной части путем предварительного выбора адресного пространства ПЗУ пла­ты защиты в свободной области адресов пользовательского BIOS, а также номера пор­та для работы с картой.

Поддерживается работа до 32 зарегистрированных пользователей на каждом ком­пьютере, причем каждый из них может быть зарегистрирован на нескольких персо­нальных компьютерах с разными полномочиями. Данные о пользователях хранятся в энергонезависимой памяти на плате защиты.

Энергонезависимая память платы защиты содержит образ системных областей ком­пьютера, что позволяет контролировать их целостность.

Разграничение доступа пользователей возможно как по отношению к внешним ус­тройствам (дисководам, LPT- и СОМ-портам), логическим дискам винчестера и тай­меру, так и по времени .работы на компьютере. Для каждого пользователя можно на­значить свои права и уровни доступа к:

–        системному диску С: (полный доступ; только для чтения);

–        остальным логическим дискам винчестера (полный доступ; нет доступа; только для чтения);

–        дисководам А: и В: (полный доступ; нет доступа; только для чтения);

–        LPT- и СОМ-портам (полный доступ; нет доступа).

Время начала и окончания работы каждого пользователя на компьютере устанав­ливается администратором в пределах суток. Интервал времени, в течение которого пользователь может работать на компьютере со своими правами, может быть установ­лен от 1 минуты до 23 час. 59 мин (т. е. круглосуточно). Для предупреждения пользо­вателя об истечении отведенного времени работы предусмотрен режим «будильни­ка». За 5 мин до окончания сеанса работы пользователя выдается прерывистый звуковой сигнал. В пределах оставшихся 5 мин пользователь сможет закончить работу, после чего компьютер будет заблокирован. Предусмотрен режим защиты таймера от изме­нения системного времени.

При регистрации идентификатора комплекс создает для каждого пользователя ин­дивидуальный файл AUTOEXEC, который запустится после загрузки компьютера пользователем с данной картой.

При выполнении процедуры входа на компьютер комплекс анализирует электрон­ную карту и личный пароль пользователя. При этом в электронном журнале фиксиру­ются номер предъявленной карты, имя пользователя, дата, время попытки «входа» и результат попытки (проход — отказ в доступе), а также причина отказа в загрузке компьютера в случае неудачи. В электронных журналах фиксируются действия пользо­вателей по работе с файлами на дисках. Электронные журналы доступны только ад­министратору. Пользователи могут самостоятельно менять личные пароли для входа на компьютер и для доступа к индивидуальным зашифрованным дискам винчестера.

Для усиления защиты информации на компьютере администратор может для всех или некоторых пользователей включать режим принудительной смены пароля входа. Пользователь будет вынужден сменить пароль входа после загрузки компьютера уста­новленного числа раз.

Доступ к электронным журналам рабочих станций администратор безопасности получает на своем рабочем месте. Для передачи данных используются протоколы IPX, что позволяет размещать защищенные станции в различных сегментах (рис. 3.19).

Со своего рабочего места администратор получает список активных станций в сети, выбирает любую из них и запрашивает любой из журналов. После установления со­единения журнал автоматически переписывается на диск компьютера администратора и обнуляется на рабочей станции. Данные из журналов могут быть выведены в файл или на печать. В случае необходимости оперативного получения информации о собы­тиях, происходящих на рабочей станции, администратор безопасности может неглас­но просматривать содержание ее экрана. Ему предоставляется возможность устано­вить для любого пользователя режим полного стирания информации из памяти и с носителей при удалении файлов.

Комплекс DALLAS LOCK может быть установлен на любой IBM-совместимый компьютер, работающий автономно или в качестве рабочей станции локальной вычис­лительной сети. Для размещения файлов и работы комплекса требуется до 3 Мбайт пространства на системном разделе С: жесткого диска. ПЗУ платы защиты занимает 8 Кбайт в области памяти пользовательских BIOS.

Для создания на винчестере дополнительных зашифрованных индивидуальных дисков каждому пользователю на системном разделе С: необходимо предусмотреть пространство, равное суммарной емкости этих дисков. Максимальный объем каж­дого диска — 32 Мбайт.