Засоби керування ключовою інформацією

Системи автентифікації електронних даних

Системи шифрування даних, переданих по комп'ютерних мережах

Системи шифрування дискових даних

Апаратно-програмні засоби захисту комп'ютерної інформації

Апаратно-програмні засоби, що забезпечують підвищений рівень захисту, можна розбити на п'ять основних груп:

1. Системи авторизації та автентифікації користувачів

Системи першої групи застосовуються для обмеження доступу випадкових і незаконних користувачів до ресурсів комп'ютерної системи. Загальний алгоритм роботи цих систем полягає в тому, щоб одержати від користувача інформацію, що засвідчує його особистість, перевірити її дійсність і потім надати (або не надати) цьому користувачеві можливість роботи із системою.

Можна виділити такі типи вибору інформації, на основі якої здійснюються ці процедури:

1) секретна інформація, якою володіє користувач (пароль, персональний ідентифікатор, секретний ключ, тощо);

2) фізіологічні параметри людини (відбитки пальців, малюнок райдужної оболонки ока, тощо) або особливості поводження людини (особливості роботи на клавіатурі, тощо).

Системи ідентифікації, що засновані на першому типі інформації, прийнято вважати традиційними. Системи ідентифікації, що використають другий тип інформації, називаються біометричними.

Другу групу засобів, що забезпечують підвищений рівень захисту, становлять системи шифрування дискових даних. Основна задача, розв'язувана такими системами, складається в захисті від несанкціонованого використання даних, розташованих на магнітних носіях.

Забезпечення конфіденційності даних, розташовуваних на магнітних носіях, здійснюється шляхом їхнього шифрування з використанням симетричних алгоритмів шифрування.

Робота прикладних програм з дисковими накопичувачами складається із двох етапів -"логічного" й "фізичного".

Логічний етап відповідає рівню взаємодії прикладної програми з операційною системою (наприклад, виклик сервісних функцій читання/запису даних). На цьому рівні основним об'єктом є файл.

Фізичний етапвідповідає рівню взаємодії операційної системи й апаратури. Об'єктами цього рівня виступають структури фізичної організації даних - сектора диску.

У результаті системи шифрування даних можуть здійснювати криптографічні перетворення даних як на рівні файлів (захищаються окремі файли) так і на рівні дисків (захищаються диски цілком).

Іншою класифікаційною ознакою систем шифрування дискових даних є спосіб їхнього функціонування.

За способом функціонування системи шифрування дискових даних ділять на два класи:

1) системи "прозорого" шифрування;

2) системи, які спеціально викликаються для здійснення шифрування.

У системах прозорого шифрування (шифрування "на лету") криптографічні перетворення здійснюються в режимі реального часу, непомітно для користувача. Наприклад, користувач записує підготовлений у текстовому редакторі документ на захищений диск, а система захисту в процесі запису виконує його шифрування.

Системи другого класу звичайно являють собою утиліти, які необхідно спеціально викликати для виконання шифрування.

До третьої групи засобів, що забезпечують підвищений рівень захисту, ставляться системи шифрування даних, що передаються по комп'ютерних мережах.

Розрізняють два основних способи шифрування: канальне шифрування й абонентське шифрування.

У випадку канального шифрування захищається вся передана по каналу зв'язку інформація, включаючи службову. Відповідні процедури шифрування реалізуються за допомогою протоколу канального рівня

Цей спосіб шифрування має таку перевагу - вбудовування процедур шифрування на канальний рівень дозволяє використати апаратні засоби, що сприяє підвищенню продуктивності системи.

Недоліки:

• шифруванню на даному рівні підлягає вся інформація, включаючи службові дані транспортних протоколів; це ускладнює механізм маршрутизації мережевих пакетів і вимагає розшифрування даних у пристроях проміжної комутації (шлюзах, ретрансляторах. маршрутизаторах);

• шифрування службової інформації, неминуче на даному рівні, може привести до появи статистичних закономірностей у шифрованих даних; це впливає на надійність захисту й накладає обмеження на використання криптографічних алгоритмів.

Абонентське шифрування дозволяє забезпечити конфіденційність даних, переданих між двома прикладними об'єктами (абонентами).

Це шифрування реалізується за допомогою протоколу прикладного або представницького рівня еталонної моделі OSI. У цьому випадку захищеним виявляється тільки зміст повідомлення, вся службова інформація залишається відкритої. Даний спосіб дозволяє уникнути проблем, пов'язаних із шифруванням службової інформації.

Четверту групу засобів захисту становлять системи автентифікації електронних даних. При обміні електронними даними по мережах зв'язку виникає проблема автентифікації автора документа й самого документа, тобто встановлення автора й перевірка відсутності змін в отриманому документі. Для автентифікації електронних даних застосовують, наприклад, електронний цифровий підпис.

Електронний цифровий підпис (ЕЦП) являє собою службову зашифровану інформацію, що передається разом з текстом. Для реалізації ЕЦП використаються принципи асиметричного шифрування. Система ЕЦП включає процедуру формування цифрового підпису відправником з використанням секретного ключа відправника й процедуру перевірки підпису одержувачем з використанням відкритого ключа відправника.

До п'ятої групи засобів відносять засоби керування ключовою інформацією. Під ключовою інформацією розуміється сукупність всіх використовуваних у комп'ютерній системі або мережі криптографічних ключів.

Безпека будь-якого криптографічного алгоритму визначається криптографічними ключами, що використовуються. У випадку ненадійного керування ключами зловмисник може заволодіти ключовою інформацією й одержати повний доступ до всієї інформації в комп'ютерній системі або мережі. Основною класифікаційною ознакою засобів керування ключовою інформацією є вид функції керування ключами.

Розрізняють такі основні види функцій керування ключами:

· генерація ключів,

· зберігання ключів

· розподіл ключів.

Способи генерації ключів розрізняються для симетричних й асиметричних криптосистем. Для генерації ключів симетричних криптосистем використаються апаратні й програмні засоби генерації випадкових чисел, зокрема схеми із застосуванням блокового симетричного алгоритму шифрування. Генерація ключів для асиметричних криптосистем представляє істотно більше складну задачу у зв'язку з необхідністю одержання ключів з певними математичними властивостями.

Функція зберігання ключів припускає організацію безпечного зберігання, обліку й видалення ключів. Для забезпечення безпечного зберігання й передачі ключів застосовують їхнє шифрування за допомогою інших ключів. Такий підхід приводить до концепції ієрархії ключів.

В ієрархію ключів звичайно входять головний ключ (майстер-ключ), ключ шифрування ключів і ключ шифрування даних. Слід зазначити, що генерація й зберігання майстрів-ключів є критичними питаннями криптографічного захисту.

Розподіл ключів є самим відповідальним процесом у керуванні ключами. Цей процес повинен гарантувати скритність ключів, що розподіляють, а також оперативність і точність їхнього розподілу. Розрізняють два основних способи розподілу ключів між користувачами комп'ютерної мережі:

• застосування одного або декількох центрів розподілу ключів;

• прямий обмін сеансовими ключами між користувачами.

Читайте також:

<== попередня сторінка	\|	наступна сторінка ==>
Принципи криптографічного захисту інформації	\|	Буфер обміну — це тимчасове місце зберігання інформації, яку було скопійовано або переміщено з одного місця з метою використання в іншому.

Не знайшли потрібну інформацію? Скористайтесь пошуком google:

Генерація сторінки за: 0.012 сек.