Первая часть статьи была посвящена обзору законодательства в области защиты персональных данных, вторая анализу закона «О персональных данных». В третьей части были рассмотрены основы классификации ИСПДн, в четвертой – защита с помощью криптографических средств, а в пятой – меры защиты. В заключительной части будет представлен взгляд автора на проблемы и перспективы отрасли.
Технический канал утечки информации представляет собой совокупность объекта технической разведки, физической среды распространения информативного сигнала и средств, которыми добывается защищаемая информация. Вот такими «сухими» словами, называется комплекс средств, который в обиходе мы привыкли называть – «шпионской техникой», и с помощью которой злоумышленники могут похитить наши секреты.
8
Поскольку архивирование материалов видеонаблюдения становится все более важным для расследования уголовных, дорожных и промышленных инцидентов, необходимо хранить эти данные все дольше и дольше. А если учитывать растущее качество записываемого видео, хранение данных видеонаблюдения становится настоящей проблемой. Обзорная статья посвящена системам и устройствам, позволяющим решить данную задачу.
В первой части статьи был приведен перечень нормативной документации по защите личной информации, во второй – речь шла о законе «О персональных данных», теперь давайте остановимся на классификации информационных систем персональных данных. Чтобы определить меры и средства защиты ПДн, нужно правильно классифицировать систему. К сожалению, до сих пор во многих организациях руководствуются устаревшими требованиями, давайте разберемся, что было и что стало.
Представлены методы анализа рисков применительно к процессам аутентификации при удаленном электронном взаимодействии. Рассмотрена применимость наиболее развитых подходов к анализу рисков выполнения основных функций аутентификации. Показано, что более половины известных методов анализа рисков могут быть использованы для оценки рисков аутентификации
Представлены методы анализа рисков применительно к процессам аутентификации при удаленном электронном взаимодействии. Рассмотрена применимость наиболее развитых подходов к анализу рисков выполнения основных функций аутентификации. Показано, что более половины известных методов анализа рисков могут быть использованы для оценки рисков аутентификации.
В двух предыдущих статьях мы рассмотрели базовый вариант алгоритма хэширования MD6, а также опциональный параметр L, определяющий структуру алгоритма – от древовидной (параллельной) до линейной (последовательной). Рассмотрим остальные явные и неявные опциональные параметры алгоритма MD6 согласно его спецификации [1].
Базовый вариант алгоритма хэширования MD6 был рассмотрен в предыдущей статье. Под базовым вариантом понимается вариант, в котором все опциональные параметры алгоритма MD6 имеют значения по умолчанию, а различные значения может иметь только обязательный параметр d, определяющий размер выходного значения алгоритма.
Каждый специалист по защите информации рано или поздно задумывается о границах своих возможностей. В данной статье мне хотелось бы по-рассуждать о том, что является неосуществимым на данный момент, спустя пару лет мы с вами будем наблюдать совсем другую картину и причин тому масса: глобализация, изменение потребностей бизнеса, увеличение мощности информационных систем и многое другое.
В развитии систем защиты информации происходит, по мнению некоторых специалистов, смена парадигмы. Ресурсы разработчиков и внимание владельцев информации всё больше концентрируются на вопросах проактивной защиты от внутренних угроз и инсайда, выявления и прогнозирования рисков, связанных с персоналом.
Данная статья завершает цикл статей, посвященных атакам на различные применения алгоритма хэширования MD5.
В шестой части статьи мы рассматривали работу [1], в которой были предложены атаки на команду APOP, используемую для усиленной (по сравнению с парольной) аутентификации пользователя на сервере электронной почты с применением алгоритма MD5.
Нет смысла выяснять, какое из средств защиты «лучше», пока не произведено правильное позиционирование сравниваемых средств защиты по отношению друг к другу. Так, бессмысленно выяснять, что лучше для обеспечения защищенной работы с флешками – использование защищенных служебных носителей или USB-фильтров.
В 2008-2009 гг. вышло еще несколько работ, посвященных анализу различных применений алгоритма MD5.
Прежде всего, отметим работу [1], авторы которой предложили новую атаку, позволяющую вычислить секретный ключ алгоритма NMAC-MD5 (предыдущие атаки на алгоритмы HMAC-MD5 и NMAC-MD5 рассматривались в четвертой части статьи).
Продолжим обзор атак на различные приложения и протоколы, использующие алгоритм хэширования MD5.
В 2007 г. вышла работа [1] Жетана Лорана (Gaetan Leurent), которому удалось заметно усилить обсуждавшиеся в предыдущих частях статьи атаки Ванг и ее коллег [2] по поиску двухблочных коллизий для алгоритма MD5.
Защита информации является лицензируемымым видом деятельности. Органами, уполномоченными на ведение лицензионной деятельности в области защиты информации, являются: Федеральная служба безопасности Российской Федерации, Федеральная служба по техническому и экспортному контролю, Служба внешней разведки Российской Федерации, Министерство обороны Российской Федерации (в пределах их компетенции).
В соответствие с [1], защита информации представляет собой принятие правовых, организационных и технических мер, направленных на:
- обеспечение защиты информации от неправомерного доступа, уничтожения, модифицирования, блокирования, копирования, предоставления, распространения, а также от иных неправомерных действий в отношении такой информации;
- соблюдение конфиденциальности информации ограниченного доступа,
- реализацию права на доступ к информации.
Нарушение доступности информации обеспечивается путем формирования (модификации) исходных данных, которые при обработке вызывают неправильное функционирование, отказы аппаратуры или захват (загрузку) вычислительных ресурсов системы, которые необходимы для выполнения программ и работы аппаратуры.
Совокупность условий и факторов (явлений, действий или процессов), создающих потенциальную или реально существующую опасность целостности и доступности информации называют угрозами целостности и доступности информации.
В статье описаны варианты использования алгоритмов, широко применяемых в современной криптографии, для сжатия данных. Прежде чем перейти к обсуждению целесообразности такого использования алгоритмов, опишем модель, с которой будем работать.
3
Тема защиты персональных данных в свете принятого закона «О персональных данных» от 27.07.2006 № 152 периодически «бурно» обсуждается специалистами по информационной безопасности. За прошедшее время было «сломано не мало копий», «наломано не мало дров». В частности, разработаны, прошли сертификационные испытания средства защиты, операторы проводили различные мероприятия по защите персональных данных, а регуляторы их контролировали и оповещали заинтересованное сообщество о проделанной работе.
Поиск утечек информации является достаточно затратным по времени и ресурсам (сотрудники, специализированные программно-аппаратные средства) делом. Но мониторинг необходимо проводить постоянно, так как нарушение можно произойти в любой момент. В последнее время общение сотрудников, клиентов и поставщиков в основном происходит через электронную почту, а значит, e-mail является источником серьезной угрозы информационной безопасности.
Как известно, под защитой информации понимается «…
деятельность, направленная на предотвращение утечки защищаемой информации, несанкционированных и непреднамеренных воздействий на защищаемую информацию»
1. А если эта деятельность базируется на использовании криптографических методов защиты, то она подлежит лицензированию.
По опросам журнала Computerworld 60% компаний планируют в текущем году набирать в штат программистов. Большинство таких компаний вовсе не производители программного обеспечения – это обычные компании, для которых производство программного обеспечения не основной бизнес или не бизнес вообще. При всем выборе готовых бизнес-приложений большинство компаний все же занимаются собственной доработкой «коробочных приложений», либо разрабатывают свои приложения «с нуля».
Рассматривая ранее вопросы использования СКЗИ, мы периодически использовали некоторые термины, такие как «СКЗИ», «информация конфиденциального характера» («конфиденциальная информация»), «информационная система (ресурс)», «собственник / владелец / обладатель информации / информационного ресурса», «шифровальные / криптографические средства», «криптоключи» и пр. Какие-то из данных терминов были нами раскрыты, основываясь на рассматриваемых документах Регулятора, а для раскрытия иных пришлось обращаться к дополнительным источникам. Трактовка некоторых терминов была отложена до определенного времени. И этот момент времени наступил.
В статье предпринята попытка систематизировать ряд категорий, терминов и определений в области информационной безопасности и защиты информации, приведена классификация угроз безопасности информации и задач по защите информации.
В статье предпринята попытка систематизировать ряд категорий, терминов и определений в области информационной безопасности и защиты информации, приведена классификация угроз безопасности информации и задач по защите информации.
В статье предпринята попытка систематизировать ряд категорий, терминов и определений в области информационной безопасности и защиты информации, приведена классификация угроз безопасности информации и задач по защите информации.
Вышло в свет едва ли не самое ожидаемое Постановление Правительства № 1119 «Об утверждении требований к защите персональных данных при их обработке в информационных системах персональных данных». Данное Постановление отменяет постановление Правительства Российской Федерации от 17 ноября 2007 г. N 781 "Об утверждении Положения об обеспечении безопасности персональных данных при их обработке в информационных системах персональных данных", согласно которому разрабатывали свои документы операторы.
Мы продолжаем тему облаков, но в этой части больше уделим внимания сервисным облакам, которые могут разрабатываться независимо от поставщиков конвергентной инфраструктуры.
В предыдущей части мы рассмотрели в качестве составляющей конвергентной инфраструктуры технологию вычислительной ткани (fabric computing), которая предназначена для получения высокопроизводительных систем на базе слабо-связных систем хранения. В этой части рассмотрим, по мнению многих, «провокационные» облачные системы. Если вычислительные ткани предназначены для виртуализации аппаратных ресурсов, то облака в качестве составляющей конвергентной инфраструктуры - для виртуализации логических ресурсов.
К настоящему моменту мы определились с регулятором и необходимостью защиты информации ограниченного доступа (часть 1), разобрались с участниками обмена (часть 2) и необходимостью использования сертифицированных средств (часть 3), при использовании рассматриваемых требований Регулятора.
1
Активное предложение софтверными компаниями облачных систем формирует диаметрально противоположные мнения по отношению к эффективности и, самое главное, безопасности «облаков». При этом практически все продавцы забывают упомянуть, что облачные системы – это более узкий класс, входящий в конвергентную инфраструктуру, и часто оперируют модными терминами, не задумываясь над их смыслом.
В указанных нами документах регулятора говорится о применении СКЗИ, причем в обоих случаях дается трактовка этого термина (хотя собственно оба документа имеют общий источник).
Чтобы задать некоторую интригу, напомним новость, опубликованную на CNews, касающуюся новых вакансий в Лаборатории Касперского. По мнению CNews, Касперский ведет разработку новой встроенной защищенной ОС для промышленного мониторинга. В настоящий момент безусловным лидером для промышленных SCADA является микроядерная операционная система реального времени QNX, конечно, появится множество замечаний, что ядро Linux ничем не хуже.
Начнем с обладателя информации конфиденциального характера. Если коротко, то Законодатель под таким субъектом понимает лицо, самостоятельно создавшее информацию, либо имеющее право разрешать или ограничивать доступ к информации, определяемой по каким-либо признакам.
1
Облачные (рассеянные) вычисления (англ. cloud computing) представляют собой новую технологию обработки данных в распределенных сетевых средах, реализуемую при условии сокрытия от пользователя физической структуры вычислительного пространства [11,12]. Фактически представляют собой высокоуровневый слой виртуализации.
В настоящее время вопросы криптографической защиты информации вышли из некоторого «полумрака» и стали достоянием широкой общественности. Тем не менее до сих пор возникают споры о том, когда обязательно использовать средства криптографии, кто определяет порядок их использования, как организовать криптографическую защиту и др. В настоящей статье будет сделана попытка обобщить требования к организации криптографической защиты информации, взяв за основу руководящие документы регулятора. Статья ориентирована в первую очередь лицам, перед которыми впервые встает задача организации защиты информации криптографическими методами.
Напомним, что в настоящий момент существует только два типа операционных систем: разделения времени и реального времени [4]. ОС разделения времени используются в системах общего назначения, фактически вместе с выходом IBM System/360 было введено понятие «систем общего назначения».
В этой статье рассматривается подход архитектурного дизайна облачной системы мониторинга, основанной на принципе многоуровневой (сквозной) виртуализации, который может быть применен для широкого круга современных программно-аппаратных систем, развивающихся в соответствии с тенденциями развития глобальной сети.
Суть метода. Речь идет не о простом дублировании функциональных элементов, а о создании резервных каналов [3]. Простое дублирование элементов, а в нашем случае увеличение количества сенсоров, увеличивает вероятность отказов на нескольких ветках решений и может привести к отказу всей системы [4].
Важной задачей в развитии безопасности критически важных компьютерных систем является достижение высокого уровня надежности и безопасности. Для целей повышения уровня безопасности систем, включая системы безопасности, часто используется метод, подразумевающий программно-аппаратную и/или функциональную избыточность, который еще известен как многоверсионный подход.
Метаданные предполагают как дополнительные возможности для систем безопасности, так и создают ряд проблем для существующих и перспективных систем безопасности. Выделим некоторые проблемы, а также дадим оценку о возможных методах борьбы с ними.
В этой части обоснуем применение вегетативных компонент или бионических принципов для обработки метаданных и вообще определим преимущества моделей бионических метаданных. На сегодняшний день биологические системы обладают наиболее развитой и сложной сенсорной системой, которая является основой познавательных способностей биологических организмов.
Производители, которые игнорируют тенденции развития архитектуры ИВП, вызывают, по крайней мере, серьезное удивление. Причем таких производителей на российском рынке систем безопасности подавляющее большинство, а за подобные разработки ведутся факультативно и за собственные средства разработчиков. Футурология и разработки на перспективу в русско-говорящем сегменте – это убытки, которые производители «согласны нести только в рамках внедрения без авторского гонорара», что выглядит бесперспективно в плане технологического развития российского технологического сегмента.
17
В настоящий момент архитектуру пятого поколения связывают с embedded-устройствами (встроенными) или non-PC, то есть мобильными устройствами, цифровыми телевизорами, мобильными ларьками, видеокамерами с встроенными операционными системами и т.д. Абсолютно очевидно, современная аппаратная эволюция склонна к миниатюризации и персонификации устройств с одной стороны, что было очевидно во время старта IBM/PC. В то же время миниатюризация и расширенная функциональность устройств предполагает вычислительную полноту «на борту» (можно по Тьюрингу) не только персональных устройств, но и устройств non-PC или, как еще принято называть, embedded-устройств (имеющих встроенную операционную систему).
В предыдущих статьях была рассмотрена релевантная для систем безопасности проблема, связанная с изменениями современной структуры мирового информационно-вычислительного пространства (ИВП), и, как следствие, задача организации вычислений над метаданными в глобальной сети. Представленный прогноз в статье [1] - это только видимая часть проблемы. Достаточно очевидны более глубокие архитектурные изменения ИВП, которые открывают для систем безопасности, как новые перспективы, так и создают дополнительные проблемы (часто на сегодняшний день технологически неразрешимые). Также формируются потенциальные угрозы, которые требуют особого внимания.
18
В предыдущих статьях был подробно описан алгоритм хэширования MD4 и рассмотрены текущие результаты его криптоанализа. Поскольку алгоритм MD4 использовался (и используется до сих пор) не только в «чистом» виде, но и в различных алгоритмах аутентификации сообщений, обзор данного алгоритма будет неполным без рассмотрения двух его вариантов: HMAC-MD4 и NMAC-MD4. Начнем с описания алгоритмов ключевого хэширования HMAC и NMAC, а обзору криптоанализа HMAC-MD4 и NMAC-MD4 будет посвящена следующая статья.
Технологии виртуализации подразумевают различные формы вычислительного представления физических и логических устройств и их программных абстракций. В настоящий момент разработчиков не ограничивают типы ресурсов, которые должны поддаваться виртуализации, главное, чтобы виртуализация подразумевала более эффективное использование виртуализированных ресурсов, чем исходных.
1
В предыдущих статьях было приведено подробное описание алгоритма хэширования MD4, а также дан обзор результатов его криптоанализа. Данная статья посвящена обзору основных применений алгоритма MD4, который весьма широко использовался в различных сетевых протоколах и приложениях.
Разработка методологии, а в последствии ИТ-технологии требует рассмотрение принципов успешного трансфера инновации, начиная с процесса проектирования, заканчивая внедрением и эксплуатацией программно-аппаратной платформы. Эти вопросы должны рассматриваться на этапе анализа, причем этот этап должен быть значительно расширен за счет дополнительных практик и процессов, в будущем призванных обеспечить не только успешный трансфер разработки в технологию, но и нужный уровень безопасности системы, так как априори речь идет о разработке систем безопасности.
1
Данная статья является продолжением предыдущей («Обзор криптоаналитических исследований алгоритма MD4: усеченные варианты и поиск коллизий») и посвящена обзору атак на алгоритм хэширования MD4, направленных на поиск прообраза, а также описанию вариантов усиления алгоритма MD4 против известных и перспективных атак.
Системы мониторинга востребованы как в системах специального, так и общего назначения. Как было показано в предыдущих публикациях, эти системы изначально разрабатывались для военных целей и радиотехнической разведки. В настоящее время функциональность этих систем значительно расширилась, их активно применяют в рамках задач общего назначения. Наиболее востребована интеграция систем мониторинга в системы безопасности различного назначения.
Об актуальности и своевременности разработки языка метаданных было рассказано в предыдущих публикациях. Существует несколько точек зрения на этот вопрос. Если ориентироваться на исследования компании IDC, то, прежде всего, при мониторинге и защите информации на базе метаданных нужно уделить внимание специальным классам – цифровому следу и цифровой тени.
Алгоритм хэширования MD4 был подробно описан в предыдущей статье. Данная статья посвящена криптоаналитическим исследованиям этого алгоритма; она предлагает обзор основных работ по криптоанализу MD4.
Вначале своей истории компьютерные технологии применялись сугубо для военных целей и, прежде всего, направлены на снижение влияния человеческого фактора на процессы принятия решений. В настоящий момент сохранилась актуальность развития компьютерных технологий для систем специального назначения. Еще в самом начале военное применение компьютеров подразумевало, прежде всего, регистрацию внешних событий, их обработку и дальнейшую передачу данных для принятия решений.
В 2010 году был преодолен барьер общемирового объема данных в 1 зеттабайт (1 млрд. терабайт), в течение текущего десятилетия объем данных, по оценкам компании IDC, возрастет до 35 зеттабайт [1, 2]. Современный этап развития уже назван специалистами эрой мегаданных (Big Data Era). Однако на текущий момент имеются признаки еще одного фазового перехода (не будем их анализировать в этой статье), связанного со стремительным увеличением количества non-PC устройств.
1
В 2006 году аналитическая компания IDC выпустила свой первый отчет об объеме информационно-вычислительного пространства и ввела понятие цифрового универсума (англ. Digital Univerce). По оценке IDC с 2006 по 2011 год выросла с 180 млрд. Гб (180 экзабайт) до 1800 млрд. Гб (1,8 зеттабайт) [1]. В среднем вычислительный объем универсума увеличивается вдвое за 18 месяцев и к 2020 году достигнет 35 зеттабайт [2]. Это огромный объем информации, который на 75% формируется частными лицами и растет неконтролируемо.
Разработка систем безопасности широкого круга функциональности предполагает единую процедуру безопасного доступа к данным, которая реализовывается на разных уровнях виртуализации. В настоящий момент структура информации, накопленной разнообразными системами безопасности, отражает общемировую тенденцию, связанную с «мега-данными» — во-первых, в 90% случаев является неструктурированной, во-вторых, незащищенной должным образом.
18
Данная статья является продолжением цикла статей про алгоритмы хэширования семейства MD. Она описывает структуру широко распространенного алгоритма хэширования MD4. Данный алгоритм активно использовался до начала 2000 гг. — до тех пор, когда была предложена эффективная атака на MD4, позволяющая практически мгновенно найти коллизию (обзору результатов криптоанализа MD4 будет посвящена следующая статья цикла).
Продолжаем серию статей про алгоритмы хэширования семейства MD. В предыдущей статье была описана структура алгоритма MD2; данная статья рассматривает различные применения данного алгоритма, а также обзор криптоаналитических исследований MD2.
Данная статья начинает цикл статей, посвященных алгоритмам хэширования семейства MD (Message Digest). Алгоритмы MD2, MD4, MD5 и MD6 широко известны; первые три из них широко использовались и продолжают широко использоваться, несмотря на то, что существуют известные криптоаналитические атаки против каждого из них.
Подготовка специалиста по компьютерной безопасности включает в себя теоретическую подготовку и практические занятия. Учебные программы университетов или специализированные курсы, чаще всего, не дают необходимых навыков — быстро принимать решения на основе полученных знаний в условиях стрессовой, быстро изменяющейся ситуации, координировать действия в команды, комплексно подходить к анализу обстановки.
11
Проект SHA-3 – это открытый конкурс по выбору нового стандарта хэширования США SHA-3, который проводится в настоящее время Институтом Стандартов и Технологий США (NIST – National Institute of Standards and Technologies). Аналогично проведенному ранее конкурсу по выбору стандарта симметричного шифрования AES, данный проект подразумевает выбор наилучшего по критериям криптостойкости и быстродействия (и не только) из присланных на конкурс алгоритмов хэширования.
Не многие знают, что наряду с традиционными контактными полиграфами, в настоящее время специалистами успешно используются бесконтактные технологии инструментальной детекции лжи. Одна из таких технологий называется (Vibraimage). Она способна анализировать видеозапись (видео файл, выполненный в формате AVI). Разберем на примере, как работает технология виброимидж.
2
Фантазии голливудских сценаристов о террористическом перехвате компьютерного управления разрушительным оружием, как например, спутника с мощной лазерной пушкой в фильме «Захват 2» (Under Siege 2: Dark Territory), в некотором роде начинаютвоплощаться в реальность.
