В данной статье рассматривается круг вопросов, связанных с тем, на какие моменты стоит обратить внимание при выборе компании для аудита IT-инфраструктуры на предмет информационной безопасности, какие в этом существуют «подводные камни», как убедиться в компетентности аудитора, и каковы наиболее распространенные заблуждениях в этой сфере.
В статье приведена классификация технических каналов утечки информации, обрабатываемой средствами вычислительной техники. Рассмотрены технические каналы утечки информации, возникающие за счет побочных электромагнитных излучений и наводок информативных сигналов, а также создаваемые путем «высокочастотного облучения» средств вычислительной техники или внедрения в них электронных устройств перехвата информации (закладочных устройств).
В статье приведена классификация технических каналов утечки информации, обрабатываемой средства вычислительной техники. Рассмотрены технические каналы утечки информации, возникающие за счет побочных электромагнитных излучений и наводок информативных сигналов, а так же создаваемые путем «высокочастотного облучения» средств вычислительной техники или внедрения в них электронных устройств перехвата информации (закладочных устройств).
В этой части статьи рассмотрены защищенные носители (ЗН), которые предназначены для использования на служебных РС, объединенных в корпоративную сеть (служебные ЗН). Такие носители должны использоваться только внутри системы согласно ее внутренним правилам.
Представлены методы анализа рисков применительно к процессам аутентификации при удаленном электронном взаимодействии. Рассмотрена применимость наиболее развитых подходов к анализу рисков выполнения основных функций аутентификации. Показано, что более половины известных методов анализа рисков могут быть использованы для оценки рисков аутентификации
Представлены методы анализа рисков применительно к процессам аутентификации при удаленном электронном взаимодействии. Рассмотрена применимость наиболее развитых подходов к анализу рисков выполнения основных функций аутентификации. Показано, что более половины известных методов анализа рисков могут быть использованы для оценки рисков аутентификации.
Бизнес-приложения, к которым ради краткости термина в этой статье мы будем относить и ведомственные приложения государственных министерств и ведомств, являются сегодня ключевым инструментом управления организацией, извлечения прибыли или оказания государственных услуг. Простой приложения может привести к убыткам или потере прибыли на коммерческом предприятии или к невозможности оказывать услуги населению. Такие приложения обычно обрабатывают данные, оборот которых регулируется государством или общественными регуляторами (персональные данные, данные платежных карт, банковская, медицинская, коммерческая и другие виды тайн), а значит их утечка, которая может произойти из приложения, может также негативно отразиться на судьбе организации. Поэтому часто возникает вопрос, вынесенный в название статьи – кто, служба ИТ или служба ИБ, отвечают за безопасность бизнес-приложений?
Алгоритм шифрования Curupira разработан в 2007 г. Его авторами – Пауло Баррето и Маркосом Симплисио – он позиционируется как облегченный криптоалгоритм, т.е. предназначенный для устройств с ограниченными ресурсами, например, различных датчиков, беспроводных сенсоров, радиочастотных идентификаторов и т.п. Алгоритм Curupira унаследовал часть преобразований от алгоритмов шифрования Anubis и Khazad, принимавших участие в европейском криптопроекте NESSIE, а также известного алгоритма хэширования Whirlpool
В этой части статьи рассмотрены защищенные носители, предназначенные для работы с данными, конфиденциальность которых критична, и которые, вместе с тем, должны храниться на носителе информации и переноситься сотрудником в рамках его должностных обязанностей на различные рабочие станции, в том числе и не входящие в состав корпоративной сети.
1
В отличие от широко распространенного алгоритма MD5, криптоанализу которого было посвящено множество работ, алгоритм MD6 распространения, практически, не получил, в результате чего он привлек несравнимо меньшее внимание криптоаналитиков. Широкую известность получило относительно немного работ по криптоанализу данного алгоритма.
Алгоритм ARMADILLO разработан коллективом специалистов из Швейцарии и Франции в 2010 г. Он представляет собой многоцелевой криптографический алгоритм, который может быть основой для вычисления кодов аутентификации сообщений (MAC – Message Authentication Code) и хэширования, генерации псевдослучайных чисел, потокового шифрования. Его предназначением является использование в устройствах с ограниченными ресурсами, прежде всего, в радиочастотных идентификаторах (RFID – Radio-frequency Identification), поэтому структура алгоритма является крайне простой с целью простоты реализации и предъявления минимальных требований к ресурсам.
Универсального рецепта или «серебряной» пули нет. Приемы, которыми пользуются злоумышленники, разнообразны: от социальной инженерии, применяемой к владельцам и администраторам сайтов, и спам-рассылок до создания подставных агентств, предоставляющих услуги SEO, и прямого взлома. Сгруппируем методики, для удобства изложения, по субъекту, который может их применять.
В статье будут проанализированы и описаны предпосылки возникновения новых угроз для пользователей сети Интернет, особенно в сегменте с преимущественным использованием русского языка.
В двух предыдущих статьях мы рассмотрели базовый вариант алгоритма хэширования MD6, а также опциональный параметр L, определяющий структуру алгоритма – от древовидной (параллельной) до линейной (последовательной). Рассмотрим остальные явные и неявные опциональные параметры алгоритма MD6 согласно его спецификации [1].
Базовый вариант алгоритма хэширования MD6 был рассмотрен в предыдущей статье. Под базовым вариантом понимается вариант, в котором все опциональные параметры алгоритма MD6 имеют значения по умолчанию, а различные значения может иметь только обязательный параметр d, определяющий размер выходного значения алгоритма.
Классификацию по уровням доверия («уровням гарантий», «уровням надежности») лучше всего вести на основе простой шкалы по аналогии с установленными №63-ФЗ видами электронной подписи: простая, усиленная и строгая. Принцип классификации аутентификации по уровням доверия также должен базироваться на анализе рисков от атак на взаимодействующие стороны и сам процесс взаимодействия.
Каждый специалист по защите информации рано или поздно задумывается о границах своих возможностей. В данной статье мне хотелось бы по-рассуждать о том, что является неосуществимым на данный момент, спустя пару лет мы с вами будем наблюдать совсем другую картину и причин тому масса: глобализация, изменение потребностей бизнеса, увеличение мощности информационных систем и многое другое.
Развитие удаленного электронного взаимодействия и переход к облакам повышают роль идентификации и аутентификации, которые особо важны в сервисах предоставления защищенного доступа, установлении отношений доверия при электронном взаимодействии, электронной подписи. Во всех этих случаях требуется классификация процессов аутентификации по целям, задачам и используемым технологиям.
Данная статья продолжает цикл статей, посвященных алгоритмам хэширования семейства MD. Следующий после алгоритма MD5 и наиболее современный из алгоритмов хэширования данного семейства – это алгоритм MD6.
В развитии систем защиты информации происходит, по мнению некоторых специалистов, смена парадигмы. Ресурсы разработчиков и внимание владельцев информации всё больше концентрируются на вопросах проактивной защиты от внутренних угроз и инсайда, выявления и прогнозирования рисков, связанных с персоналом.
Данная статья завершает цикл статей, посвященных атакам на различные применения алгоритма хэширования MD5.
В шестой части статьи мы рассматривали работу [1], в которой были предложены атаки на команду APOP, используемую для усиленной (по сравнению с парольной) аутентификации пользователя на сервере электронной почты с применением алгоритма MD5.
Нет смысла выяснять, какое из средств защиты «лучше», пока не произведено правильное позиционирование сравниваемых средств защиты по отношению друг к другу. Так, бессмысленно выяснять, что лучше для обеспечения защищенной работы с флешками – использование защищенных служебных носителей или USB-фильтров.
В 2008-2009 гг. вышло еще несколько работ, посвященных анализу различных применений алгоритма MD5.
Прежде всего, отметим работу [1], авторы которой предложили новую атаку, позволяющую вычислить секретный ключ алгоритма NMAC-MD5 (предыдущие атаки на алгоритмы HMAC-MD5 и NMAC-MD5 рассматривались в четвертой части статьи).
Вернемся к работам, вышедшим в 2007 г., в частности, к рассмотренной в пятой части статьи работе [1], авторы которой предложили коллизии с выбранным префиксом и методику создания дающих коллизию пар сертификатов различных пользователей на их основе.
Продолжим обзор атак на различные приложения и протоколы, использующие алгоритм хэширования MD5.
В 2007 г. вышла работа [1] Жетана Лорана (Gaetan Leurent), которому удалось заметно усилить обсуждавшиеся в предыдущих частях статьи атаки Ванг и ее коллег [2] по поиску двухблочных коллизий для алгоритма MD5.
Начать данную статью хотелось бы с простого и понятного всем постулата – управление доступом - это краеугольный камень любой системы информационной безопасности. Думаю, с этим мало кто станет спорить.
2
28 мая на сайте ФСТЭК был выложен уже утвержденный Приказ № 21 от 18 февраля 2013 «Об утверждении состава и содержания организационных и технических мер по обеспечению безопасности персональных данных при их обработке в информационных системах персональных данных» (далее – Приказ №21).
2
Основываясь на рекомендациях [19] сначала рассмотрим исследуемую систему. В общем случае процесс удаленной аутентификации может содержать четыре основных этапа:
- регистрация;
- верификация (собственно обмен защищенными сообщениями между клиентом и сервером – challenge response);
- валидация;
- принятие решения об авторизации пользователя.
1
Без предварительной оценки рисков невозможно корректное решение задач информационной безопасности. Переход к облачным вычислениям актуализирует задачи обеспечения надежности и качества удаленного доступа при электронном взаимодействии. В основе создания систем управления доступом лежит решение задач идентификации и аутентификации пользователей [1].
Продолжим рассмотрение атак на приложения и протоколы, в которых используется алгоритм хэширования MD5.
В ноябре 2005 г. вышла работа [1] двух известных экспертов по криптографии: Брюса Шнайера (Bruce Schneier) и Пола Хоффмана (Paul Hoffman), посвященная текущим атакам на алгоритмы хэширования MD5 и SHA-1 (в меньшей степени, чем MD5, поскольку атаки по поиску коллизий для SHA-1 на тот момент требовали несравнимо большей трудоемкости, чем атаки на MD5), широко используемые в различных сетевых протоколах.
В статье описаны варианты использования алгоритмов, широко применяемых в современной криптографии, для сжатия данных. Прежде чем перейти к обсуждению целесообразности такого использования алгоритмов, опишем модель, с которой будем работать.
3
