1. Внешние и внутренние угрозы. Меры и принципы защиты информации. Виды защищаемой информации.

Для обеспечения ЗИ необходимо учитывать:

- доступность инф-ии

- целостность инф-ии

-конфиденциальность инф-ии

При разработке комплексной защиты инф-ии необходимо использовать (меры):

1) Правовой метод защиты – указ или нормативный акт регламента, который закрепляет права и обязанности, устанавливает ответственность за их нарушение.

2) Морально-этические нормы

3) Организационные или административные меры защиты. Организационные включают в себя:

- разработку политики безопасности

- подбор персонала

- организация охраны

- учет, хранение, использование, уничтожение документов с носителей инф-ии

- явный дискрет. контроль за работой поль-ля

- мероприятия при проектировании, разработке ПО

4) Технические или физические меры защиты. Напр., защита от кражи инф-ии э/м излучением.

5) Аппаратно-программные меры ЗИ.

Имеется нес-ко принципов ЗИ:

1. Принцип многоуровневой организации – ранжируемость инф-ии по уровню конфиденциальности. 3 грифа секретности существует. К конфиденциальной инф-ии относится коммерческая тайна, профессиональная (врачебная, нотариальная), персональных данных, сведения судопроизводства, и т.д.

2. Принцип системности - учет всех взаимодействующих или изменяющихся во времени и условия, влияющие на инф-ию. Необходимо рассматривать все уязвимые места системы.

3. Принцип комплексности. Согласованное применение разных средств для построения целостности…..

4. Принцип непрерывной защиты – подразумевается принятие защитных мер на всем жизненном цикле.

5. Принцип разумной достаточности. Считается, что при достаточном времени и деньгах можно предоставить разумную защиту. Обычно защита стоит дорого. Необходимо выбрать приемлемую защиту для данной области.

6. Гибкость системы защиты

7. Отсутствие алгоритмов и механизмов защиты.

8. Принцип простоты применения.

2. Причины появления сертификатов. Понятие сертификата. Структура сертификата. Организация сертификации. Цепочки доверия.

Структура сертификата, причины их использования.

Оговаривается международным стандартом X-509. Версия X-509v3 от 1996 года действует до сих пор.

Стандарт оговаривает компоненты сертификата:

• Номер версии;

• Уникальный порядковый номер;

• Алгоритм ЭЦП и хэш-функция, используемая сертификационным агентством (СА) для подписи сертификатов;

• Срок действия;

• Имя субъекта и организации, подразделения, в котором он работает;

• Имя СА в том же формате, как и в предыдущем пункте;

• Открытый ключ (ОК) пользователя;

• Электронная подпись под ОК самого СА.

Причины использования сертификатов:

Проблема при использовании ассиметричной криптографии заключается в проверке принадлежности открытого ключа (ОК) конкретному лицу. Возникает возможность подмены ОК, т.е. проблема соответствия между открытым ключом и лицом, которому оно принадлежит. Для установки такого соответствия используется сертификация ОК или цифровой

Иерархическая структура сертификационных агентств, понятие CRL.

Наиболее крупным западным СА является Verisign. Оно выпускает несколько видов сертификатов

• низшего класса – удостоверяют лишь возможность доступа определенного пользователя к электронной почте;

• высшего класса – выдаются только клиентам, удостоверившим свою личность в присутствии представителей СА.

Данное и другие СА оказывают услуги по сертификации ОК:

• Организаций – владельцев серверов;

• Электронной почты частных лиц;

• Клиентов или частных пользователей;

• Разработчиков ПО.

Внешние коммерческие СА используются:

4. Подлинность сертификата должна быть подтверждена 3ей стороной;

5. При необходимости совместимости сертификатов разных организаций;

6. Не хватает ресурсов и времени для формирования собственной инфраструктуры ОК.

В целях экономии крупные компании могут создавать собственные СА. При этом они получают полный контроль над своей инфраструктурой ОК. При этом в рамках предприятий можно реализовать иерархическую структуру СА, создав наряду с главным СА также подчиненную СА, которая будет выдавать сертификаты в пределах определенных подразделений. Главное СА будет выдавать сертификаты подчиненным СА.

«-»:

• необходимо иметь квалифицированный персонал;

• сертификат будет признаваться только в данной организации;

Когда 2 компании работают вместе и имеют общую структуру, то может использоваться кроссертификация. Помимо сертификата, выданного самому себе, у него также имеется сертификат подчиненного СА, изданного партнерским СА и наоборот. «-»: чрезмерное доверие между организациями.

Макс. гибкость и универсальность имеет модель, сочетающая в себе использование внешних СА и иерархической корпоративной структуры в рамках предприятия. Использование внешнего СА, где получает сертификат главное СА предприятия, обеспечивает возможность обмена сертификатами с другими организациями, а использование иерархии - экономить деньги.

Возможна модель, основанная на Web-технологии. При этом ОК СА встраиваются в Web-браузеры и представляют собой дочерние корневые СА, которым может доверять браузер. Разработчик браузера выступает в роли главного корневого СА и сертифицирует ОК упомянутого СА.

«-»: при дискредитации внешнего СА достаточно трудно оповестить всех владельцев браузеров и потребовать исключить данное СА из числа доверенных.

СА должно вести списки отозванных (аннулируемых) сертификатов (CRL – certificate revoked lists). Для аннулирования существует 2 причины:

• Потеря/кража ЛК;

• Изменение места работы пользователя.