12.3Защита информации в Интернете

При работе в Интернете следует иметь в виду, что насколько ресурсы Всемирной сети открыты каждому клиенту, настолько же и ресурсы его компьютерной системы могут быть при определенных условиях открыты всем, кто обладает необходимыми средствами.

Работая во Всемирной сети, следует помнить о том, что абсолютно все действия фиксируются и протоколируются специальными программными средствами и информация как о законных, так и о незаконных действиях обязательно накапливается. Сегодня Интернет является не только средством общения и универсаль­ной справочной системой – в нем циркулируют договорные и финансовые обяза­тельства, необходимость защиты которых как от просмотра, так и от фальсификации очевидна.

Принципы защиты информации в Интернете опираются на определение инфор­мации, сформулированное нами в первой главе этого пособия. Информация – это продукт взаимодействия данных и адекватных им методов. Системы защиты сосредоточены на втором компоненте информации – на методах. Их принцип действия основан на том, чтобы исключить или, по крайней мере, затруднить возможность подбора адек­ватного метода для преобразования данных в информацию. Одним из приемов такой защиты является шифрование данных.

Обычный подход состоит в том, что к документу применяется некий метод шиф­рования, основанный на использовании ключа, после чего документ становится недоступен для чтения обычными средствами. Если в процессе обмена информацией для шифрования и чтения пользуются одним и тем же ключом, то такой криптографический процесс является симметричным.

Основной недостаток симметричного процесса заключается в том, что, прежде чем начать обмен информацией, надо выполнить передачу ключа, а для этого опять-таки нужна защищенная связь, то есть проблема повторяется, хотя и на другом уровне.

Поэтому в настоящее время в Интернете используют несимметричные криптогра­фические системы, основанные на использовании не одного, а двух ключей.

Компания для работы с клиентами создает два ключа: один открытый (public – публичный), а другой закрытый (private – личный).

Ключи устроены так, что сообщение, зашифрованное одной половинкой, можно расшифровать только другой половинкой (не той, которой оно было закодировано). Создав пару ключей, компания широко распространяет публичный ключ (открытую половинку) и надежно сохраняет закрытый ключ (свою половинку).

Если клиент хочет сделать фирме заказ, он возьмет ее публичный ключ и с его помощью закодирует свое сообщение о заказе и данные о своей кредитной карте. После кодирования это сообщение может прочесть только владелец закрытого ключа. Если фирме надо будет отправить клиенту квитанцию о том, что заказ принят к исполнению, она закодирует ее своим закрытым ключом. Клиент сможет прочи­тать квитанцию, воспользовавшись имеющимся у него публичным ключом данной фирмы.

Защита публичным ключом (впрочем, как и большинство других видов защиты информации) не является абсолютно надежной. Дело в том, что поскольку каждый желающий может получить и использовать чей-то публичный ключ, то он может сколь угодно подробно изучить алгоритм работы механизма шифрования и пытаться установить метод расшифровки сообщения, то есть реконструировать закрытый ключ. Чаще всего даже знание алгоритма еще не означает воз­можности провести реконструкцию ключа в разумно приемлемые сроки.

Количество комбинаций, которое надо проверить при реконструкции закрытого ключа, конечно, однако защиту информации принято считать достаточной, если затраты на ее преодоление превышают ожидаемую ценность самой информации. В этом состоит принцип достаточности защиты, которым руководствуются при использовании несимметричных средств шифрования данных. Он предполагает, что защита не абсолютна и приемы ее снятия известны, но она все же достаточна для того, чтобы сделать это мероприятие нецелесообразным. Область науки, посвященная исследованиям шифрования называется криптоанализом, а средняя продолжительность времени, необходимого для реконструкции закрытого ключа по его опубликованному открытому ключу, называется криптостойкостью алгоритма шифрования.