Целью работы является критический анализ содержания некоторых зарубежных стандартов в области информационной безопасности и качества их переводов в России. Попытки США превратить свои национальные стандарты защиты информации в международные создают американским фирмам-производителям средств защиты информации благоприятные условия для захвата рынка, потенциально расширяют возможности внешнего контроля над защищаемой информацией и дают преимущества американским разведывательным службам.
В данной статье рассматривается круг вопросов, связанных с тем, на какие моменты стоит обратить внимание при выборе компании для аудита IT-инфраструктуры на предмет информационной безопасности, какие в этом существуют «подводные камни», как убедиться в компетентности аудитора, и каковы наиболее распространенные заблуждениях в этой сфере.
Из представленного ранее материала становится понятным, что эксплуатация СКЗИ с точки зрения государственного регулятора не может происходить неким хаотичным образом. Многие требования достаточно четко определены и обязательны к исполнению. В части 4 настоящей статьи уже было упомянуто, что обладатель информации принимает решение о необходимости использования криптографической защиты или отсутствии таковой.
В двух предыдущих статьях мы рассмотрели базовый вариант алгоритма хэширования MD6, а также опциональный параметр L, определяющий структуру алгоритма – от древовидной (параллельной) до линейной (последовательной). Рассмотрим остальные явные и неявные опциональные параметры алгоритма MD6 согласно его спецификации [1].
Известны различные критерии обоснования затрат на физическую безопасность[1]. Однако в сфере информационной безопасности сравнение различных критериев нередко ограничивается интерпретацией умозрительных, а не количественных зависимостей [2].
1
Ну вот и снова, уважаемый читатель, мы возвращаемся к одному из «проклятых» вопросов нашей тематики. На сей раз Вашему «по заказу».
Не столь уж и давно очень похожую тематику мы рассматривали для области АЭП (вот тут: http://daily.sec.ru/publication.cfm?pid=35713 ). Теперь пришло время технической акустики, которая, как известно, включает в себя как измерения звукового давления (в воздушной среде), так и измерения виброускорения (на поверхностях твёрдых тел).
Теперь, после экскурсов в область электрических или электромагнитных сигналов, перейдём «на почву» классической механики и рассмотрим область контроля защищённости речи. В самой изначальной её форма существования – механических колебаний в воздушной (акустика) или твёрдой (вибрации) средах.
Перейдём теперь к другой измерительной области и другой задаче – измерениям сигналов, так же являющихся следствием акустоэлектрических преобразований (СИ АЭП), но уже сигналов высокочастотных.
В соответствии с определением в классической радиотехнике эти сигналы являются радиосигналами, ибо именно так в теории принято именовать модулированные сигналы. Причём и амплитудно- и частотно-модулированные (точнее, речь идёт об угловой модуляции, как о более общем термине).
Перейдём теперь к другой измерительной области и другой задаче – измерениям сигналов, являющихся следствием акустоэлектрических преобразований (СИ АЭП).
Как многократно упоминалось в самых разных публикациях эти самые сигналы АЭП рассматриваются в двух формах существования:
- НЧ АЭП – сигналы речевого диапазона частот, «прямой» АЭП.
- ВЧ АЭП – сигналы радиочастотного диапазона, они же сигналы штатных автогенераторов, входящих в состав исследуемых тех. средств, модулированные речевыми сигналами.
Данная статья завершает цикл статей, посвященных атакам на различные применения алгоритма хэширования MD5.
В шестой части статьи мы рассматривали работу [1], в которой были предложены атаки на команду APOP, используемую для усиленной (по сравнению с парольной) аутентификации пользователя на сервере электронной почты с применением алгоритма MD5.
В этой публикации автор продолжает начатую тему об измерениях и открывает цикл статей, посвящённых конкретным измерительным системам, их возможностям, особенностям, приёмам работы с ними. Конечно, достаточно много можно почерпнуть и из эксплуатационной документации, которая выложена на нашем форуме в специализированной «ветви». Однако и личный опыт, оценки (в том числе и субъективные!) могут оказаться полезными как пользователям наших систем, так и тем, кто только стоит перед выбором, что же приобрести, чем будет оптимальнее работать.
В 2008-2009 гг. вышло еще несколько работ, посвященных анализу различных применений алгоритма MD5.
Прежде всего, отметим работу [1], авторы которой предложили новую атаку, позволяющую вычислить секретный ключ алгоритма NMAC-MD5 (предыдущие атаки на алгоритмы HMAC-MD5 и NMAC-MD5 рассматривались в четвертой части статьи).
Защищенная разработка – это комплекс мер, добавляющихся к обычному процессу создания программного обеспечения, направленных на обеспечения высокого уровня безопасности информации, обрабатываемой разрабатываемым программным обеспечением.
В последнее время все больше и больше организаций начинают задумываться о переходе на двухфакторную аутентификацию. Причин тому много, но основной можно отметить – многократный рост критичной информации в корпоративных информационных системах и, как следствие, неспособность классической модели аутентификации на базе логинов и паролей удовлетворить современные требования информационной безопасности.
В современном обществе, которое принято считать постиндустриальным [1,2] или, что более актуально, информационным [3,4], быстро растет значимость и ценность таких ресурсов как информация, знания [5], компетенции [6].*
Цель исследования: математическое моделирование информационных потоков для автоматизации процесса оценки уровня знаний и компетенций сотрудников организации.
Вернемся к работам, вышедшим в 2007 г., в частности, к рассмотренной в пятой части статьи работе [1], авторы которой предложили коллизии с выбранным префиксом и методику создания дающих коллизию пар сертификатов различных пользователей на их основе.
Продолжим обзор атак на различные приложения и протоколы, использующие алгоритм хэширования MD5.
В 2007 г. вышла работа [1] Жетана Лорана (Gaetan Leurent), которому удалось заметно усилить обсуждавшиеся в предыдущих частях статьи атаки Ванг и ее коллег [2] по поиску двухблочных коллизий для алгоритма MD5.
Защита информации является лицензируемымым видом деятельности. Органами, уполномоченными на ведение лицензионной деятельности в области защиты информации, являются: Федеральная служба безопасности Российской Федерации, Федеральная служба по техническому и экспортному контролю, Служба внешней разведки Российской Федерации, Министерство обороны Российской Федерации (в пределах их компетенции).
В соответствие с [1], защита информации представляет собой принятие правовых, организационных и технических мер, направленных на:
- обеспечение защиты информации от неправомерного доступа, уничтожения, модифицирования, блокирования, копирования, предоставления, распространения, а также от иных неправомерных действий в отношении такой информации;
- соблюдение конфиденциальности информации ограниченного доступа,
- реализацию права на доступ к информации.
Нарушение доступности информации обеспечивается путем формирования (модификации) исходных данных, которые при обработке вызывают неправильное функционирование, отказы аппаратуры или захват (загрузку) вычислительных ресурсов системы, которые необходимы для выполнения программ и работы аппаратуры.
Совокупность условий и факторов (явлений, действий или процессов), создающих потенциальную или реально существующую опасность целостности и доступности информации называют угрозами целостности и доступности информации.
Создание защищенного контура КСА предназначено для осуществления, например, закрытого (защищенного) документооборота или делопроизводства с обработкой информации, составляющей государственную тайну, и обеспечивается при помощи организационно-технических мероприятий, проводимых заказчиком и его региональными объектами автоматизации.
Актуальной задачей практически любых информационных систем (ИС) на современном этапе развития ИТ-отрасли является задача объединения, интеграции в единый процесс обработки разнородной информации на разрозненных удаленных информационных объектах заказчика, должностных лиц на этих объектах, для обеспечения управляемости сквозным (возможно, даже оперативным) обменом данными, в том числе конфиденциальными.
1
Менее, чем через две недели после выхода обсуждавшегося в предыдущей части статьи отчета ECRYPT, посвященного коллизиям для известных хэш-функций [1], вышла получившая широкую известность работа Арьена Ленстры (Arjen Lenstra), Ксиаоюн Ванг и Бена де Вегера (Benne de Weger) [2] (см. также [3], где представлена дополнительная информация, а наиболее полную информацию о данной атаке можно найти в работе [4], которая вышла несколько позднее). Данный коллектив криптоаналитиков представил метод конструирования пары значащих сертификатов формата X.509 [5] с эквивалентными хэш-значениями, вычисляемыми по алгоритму MD5.
Практически одновременно с обсуждавшейся в предыдущей части статьи работой Ондрея Микля [1] вышла работа Дэна Камински (Dan Kaminsky) [2], в которой также рассматриваются возможности практического применения найденных китайскими криптоаналитиками в [3] абстрактных коллизий для алгоритма MD5.
Продолжим обзор атак на алгоритм хэширования MD5. Данная статья посвящена атакам на различные приложения и протоколы, в которых используется или использовался данный алгоритм, а также атакам на различные надстройки над алгоритмом MD5. Рассмотрим именно те атаки, которые эксплуатируют особенности или слабости алгоритма MD5, а не какие-либо другие возможные уязвимости конкретного протокола или приложения.
Продолжим обзор атак на алгоритм хэширования MD5. Рассмотрим атаки по поиску прообразов.
Первые из работ, посвященных поиску прообразов для алгоритма MD5, – это работы коллектива специалистов из исследовательского подразделения компании Microsoft – Microsoft Research [1-2], опубликованные в 2007 г. В данных работах был предложен алгоритм инвертирования функции сжатия алгоритма MD5.
В предыдущей части статьи были рассмотрены криптоаналитические исследования алгоритма MD5, результаты которых были опубликованы в 2005 и в начале 2006 гг. Лучшего результата на то время добился Властимил Клима, метод которого позволял найти двухблочную коллизию в среднем за 17 секунд работы персонального компьютера средней производительности [1].
Предыдущая часть статьи была завершена рассмотрением деталей атаки по поиску двухблочных коллизий для алгоритма MD5, опубликованной в работе.
Практически сразу же после появления в открытом доступе работы Властимил Клима опубликовал работу, в которой содержалось подробное описание атаки, результаты которой были опубликованы Климой немногим ранее. В данном методе также использовался дифференциальный криптоанализ с комбинацией разности, определяемой операцией XOR, и разности, определяемой операцией вычитания по модулю 2
32.
Ни один адекватный человек не любит чрезмерного контроля над собой. Контроль поражает волю, снижает эффективность, убивает творческую деятельность и просто «давит». Поэтому при введении контроля персонала с помощью DLP-систем логично скрывать даже сам факт наличия оных. В первой части мы коснулись юридических аспектов, концепции BYOD и социальных сетей. Двигаемся дальше.
После описанной в первой части статьи работы [1] долгое время не появлялось каких-либо новых результатов в поиске коллизий для алгоритма MD5 – до 2004 г., когда была опубликована упомянутая ранее работа Ксиаоюн Ванг и ее коллег [2].
Традиционно в вопросах защиты информации главное внимание уделяется обеспечению информационной безопасности в автоматизированных системах, созданных на основе средств вычислительной технике и сетях передачи данных. Однако, в настоящее время не менее актуальной является проблема обеспечения информационной безопасности на сетях цифровой телефонной связи.
За время активного использования алгоритма MD5 было предпринято множество попыток атаковать данный алгоритм. История криптоанализа MD5 весьма многогранна. Она тесно переплетается с криптоанализом ряда других алгоритмов хэширования (в том числе, рассмотренного ранее MD4); можно утверждать, что многие достижения в криптоанализе алгоритмов хэширования и успешные атаки на их применения были сделаны благодаря алгоритму MD5 и его популярности, весьма привлекавшей криптоаналитиков со всего мира.
Никто не любит крайностей. В механике в самом простейшем случае это описывается «золотым правилом», в квантовой физике – знаменитым принципом неопределённости Гейзенберга. Сама природа вещей как бы подсказывает нам, что как ни крути, а рано или поздно наступит момент, когда мы будем должны пойти на какие-либо допущения и компромиссы. Всё это справедливо и при переносе на проблемы контроля персонала. Перегнуть палку легко, но так ли это необходимо? Давайте попробуем разобраться над тем, как рационально контролировать персонал с помощью DLP-систем.
3
К сожалению, несмотря на всемирную популярность социальных сетей, их по-прежнему трудно назвать безопасным местом для неподготовленного пользователя, чем, надо сказать, активно пользуются разнообразные злоумышленники. Как же самому не стать их жертвой? Существует несколько несложных правил, которые помогу вам избежать подобных неприятностей.
Статья имеет, прежде всего, теоретическую направленность, однако некоторые описанные угрозы могут быть реализованы в течение короткого времени. Цель статьи — обратить внимание специалистов на необходимость доработки существующих систем защиты.
1
Фантазии голливудских сценаристов о террористическом перехвате компьютерного управления разрушительным оружием, как например, спутника с мощной лазерной пушкой в фильме «Захват 2» (Under Siege 2: Dark Territory), в некотором роде начинаютвоплощаться в реальность.
Сущность мошенничества раскрывается в сравнении с другими преступлениями против собственности.
статья 158 УК РФ – кража - тайное хищение чужого имущества;
статья 160 УК РФ – присвоение (растрата) - хищение чужого имущества, вверенного виновному;
статья 161 УК РФ – грабеж – открытое хищение чужого имущества;
Кириллица, одна из двух (вместе с глаголицей) первых славянских азбук. Создана на основе греческого уставного письма в конце 9 – начале 10 веков с добавлением нескольких букв. Была распространена у южных, восточных и, вероятно, западных славян. В 1708 году в России реформирована. Легла в основу русского алфавита.
Развитие идет по спирали, и в нашей жизни происходят повторения пройденного, правда, на другом уровне. Киберпространство – это самоорганизующаяся система, поскольку его информационное наполнение выполняется самими его обитателями по образу того мира, который их окружает в реальности.
