- • Оформление. Фгбоу впо «Воронежский государственный технический университет», 2012
- •Введение в теорию обеспечения безопасности программного обеспечения
- •1.1. Основные положения теории безопасности программного обеспечения
- •1.2. Угрозы безопасности программного обеспечения
- •1.3. Теоретические основы дисциплины и терминология
- •1.4. Жизненный цикл программного обеспечения компьютерных систем. Технологическая и эксплуатационная безопасность программ
- •1.5. Основные принципы обеспечения безопасности программного обеспечения
- •2. Методы и средства анализа безопасности программного обеспечения
- •2.1. Общие замечания
- •2.2. Контрольно-испытательные методы анализа безопасности программного обеспечения
- •2.3. Логико - аналитические методы контроля безопасности программ
- •2.4. Сравнение логико-аналитических и контрольно-испытательных методов анализа безопасности программ
- •2.5. Выявление уязвимостей в программном обеспечении
- •2.6. Общий механизм выбора программного обеспечения безопасности для компьютерных систем
- •2.7. Модели поведения программного обеспечения
- •3. Способы тестирования программного обеспечения при испытаниях его на технологическую безопасность
- •3.1. Обобщенные способы анализа программных средств на предмет наличия (отсутствия) элементов разрушающих программных средств Статистические и динамические способы исследования по:
- •Особенности исследования защищенного по:
- •Описание способов проведения испытаний, оценки качестваи сертификации программных средств:
- •Состав методического обеспечения проведения испытаний программ:
- •Состав инструментальных средств проведения испытания программ:
- •Общая номенклатура показателей качества по:
- •Выбор номенклатуры показателей качества:
- •Оценка значений показателей качества по:
- •Организационные вопросы проведения испытаний по:
- •Методологические вопросы проведения испытаний по:
- •3.2. Построение программно-аппаратных комплексов для контроля технологической безопасности программ Состав инструментальных средств контроля безопасности по при его разработке:
- •Планировщик тестов на безопасность
- •Подсистема генерации тестов
- •База данных тестирования
- •Средства локализации дефектов по
- •Блок идентификации дефектов по Блок определения характеристик по Блок сбора статистики о дефектах и их каталогизация
- •Средства ликвидации дефектов по
- •Блок ликвидации модулей формирования дефектов Блок уделенных искаженных программ и избыточных модулей Блок удаления нарушенных информационных структур и восстановления их целостности
- •Блок оценки уровня безопасности по Генератор отчетов контроля безопасности по
- •Структура и принципы построения программно-аппаратных средств контрольно-испытательного стенда испытания технологической безопасности по:
- •4. Расчет вероятности наличия разрушающего программного средства на этапе испытаний программного обеспечения и подходы к его исследованию
- •4.1. Постановка задачи
- •4.2. Обоснование состава множества информативных характеристик
- •4.3. Алгоритмы приближенных вычислений вероятностных характеристик наличия в программах рпс
- •4.4. Обоснование критериев принятия решения о наличии в программе рпс
- •4.5. Подходы к исследованию сложных программных комплексов
- •5. Методы обеспечения надежности программ для контроля их технологической безопасности
- •5.1. Исходные данные, определения и условия
- •5.3. Модель Нельсона
- •5.4. Оценка технологической безопасности программ на базе метода Нельсона
- •6. Методы и средства обеспечения целостности и достоверности используемого программного кода
- •6.1. Методы защиты программ от несанкционированных изменений
- •6.2. Схема подписи с верификацией по запросу
- •6.3. Примеры применения схемы подписи с верификацией по запросу
- •6.4. Основные подходы к защите программ от несанкционированного копирования
- •Криптографические методы. Для защиты инсталлируемой программы откопирования при помощи криптографических методов инсталлятор программы должен выполнить следующие функции:
- •Манипуляции с кодом программы. При манипуляциях с кодом программы можно привести два следующих способа:
- •Заключение
- •Библиографический список
- •Оглавление
- •3. Способы тестирования программного обеспечения при испытаниях его на технологическую безопасность…….66
- •4. Расчет вероятности наличия разрушающего программного средства на этапе испытаний программного обеспечения и подходы к его исследованию………………………………..107
- •394026 Воронеж, Московский просп., 14
ФГБОУ ВПО «Воронежский государственный
технический университет»
Г.А. Кащенко
Защита программного обеспечения от несанкционированного использования
Утверждено Редакционно-издательским советом
университета в качестве учебного пособия
Воронеж 2012
УДК 621.382.26
Кащенко Г.А. Защита программного обеспечения от несанкционированного использования: учеб. пособие / Г.А. Кащенко. Воронеж: ФГБОУ ВПО «Воронежский государственный технический университет», 2012. 168 с.
В учебном пособии изложены основы теории защиты программного обеспечения от несанкционированного использования. Рассмотрены общие сведения из теории защиты программного обеспечения, современные методы и средства анализа его безопасности, способы тестирования программ, а также основные подходы к защите от несанкционированного доступа и использования.
Издание соответствует требованиям Федерального государственного образовательного стандарта высшего профессионального образования по специальности 090301 "Компьютерная безопасность", дисциплине "Защита программного обеспечения от несанкционированного использования".
Учебное пособие подготовлено в электронном виде в текстовом редакторе MW-2007 и содержится в файле «ZPO_ot_NSI.docх».
Табл. 3. Ил. 9. Библиогр.: 17 назв.
Рецензенты: ОАО «Концерн «Созвездие»
(канд. техн. наук, ст. науч. сотрудник О.В. Поздышева);
канд. техн. наук, доц. М.И. Бочаров
Кащенко Г.А., 2012
Оформление. Фгбоу впо «Воронежский государственный технический университет», 2012
ВВЕДЕНИЕ
Настоящее учебное пособие написано в соответствии с программой курса «Защита программного обеспечения от несанкционированного использования», читаемого студентам, обучающимся по специальности «Компьютерная безопасность». При подготовке специалистов в этой области является актуальными знание теоретических основ защиты программного обеспечения (ПО) от несанкционированного использования (НСИ). Это определило и содержание учебного пособия.
Учебное пособие состоит из шести разделов. Первый раздел знакомит студентов с общими сведениями из теории защиты ПО. Во втором разделе рассмотрены современные методы и средства анализа безопасности ПО. Третий раздел содержит основные сведения о способах тестирования ПО при его испытаниях на технологическую безопасность. В четвертом разделе рассмотрена методика расчета вероятности наличия разрушающего программного средства (РПС) на этапе испытаний ПО. Пятый раздел посвящен описанию методов обеспечения надежности ПО для контроля его технологической безопасности. В шестом разделе рассмотрены методы и средства обеспечения целостности и достоверности используемого программного кода, а также основные подходы к защите ПО от несанкционированного доступа и использования.
Основное внимание в учебном пособии уделено методам и средствам анализа безопасности ПО, что дает возможность усвоить основные способы оценки его защищенности, а также позволяет студентам в дальнейшем усвоить основные принципы построения комплексов средств защиты ПО.
Введение в теорию обеспечения безопасности программного обеспечения
1.1. Основные положения теории безопасности программного обеспечения
Безопасность ПО в широком смысле является свойством данного ПО функционировать без проявления различных негативных последствий для конкретной компьютерной системы. Под уровнем безопасности ПО понимается вероятность того, что при заданных условиях в процессе его эксплуатации будет получен функционально пригодный результат. Причины, приводящие к функционально непригодному результату могут быть разными: сбои компьютерных систем, ошибки программистов и операторов, дефекты в ПО. При этом дефекты принято рассматривать двух типов: преднамеренные и непреднамеренные. Первые являются, как правило, результатом злоумышленных действий, вторые - ошибочных действий человека.
При исследовании проблем защиты ПО от преднамеренных дефектов неизбежна постановка следующих вопросов:
кто потенциально может осуществить практическое внедрение программных дефектов деструктивного воздействия в исполняемый программный код;
каковы возможные мотивы действий субъекта, осуществляющего разработку таких дефектов;
как можно идентифицировать наличие программного дефекта;
как можно отличить преднамеренный программный дефект от программной ошибки;
каковы наиболее вероятные последствия активизации деструктивных программных средств при эксплуатации КС.
При ответе на первый вопрос следует отметить, что это: непосредственные разработчики алгоритмов и программ для компьютерных систем. Они хорошо знакомы с технологией разработки программных средств, имеют опыт разработки алгоритмов и программ для конкретных прикладных систем, знают тонкости существующей технологии отработки и испытаний программных компонентов и представляют особенности эксплуатации и целевого применения разрабатываемой КС. Кроме того, при эксплуатации программных комплексов возможен следующий примерный алгоритм внесения программного дефекта: дизассемблирование исполняемого программного кода, получение исходного текста, привнесение в него деструктивной программы, повторная компиляция, корректировка идентификационных признаков программы (в связи с необходимостью получения программы "схожей" с оригиналом). Таким образом, манипуляции подобного рода могут сделать и посторонние высококлассные программисты, имеющие опыт разработки и отладки программ на ассемблерном уровне.
В качестве предположений при ответе на второй вопрос следует отметить, что алгоритмические и программные закладки могут быть реализованы в составе программного компонента вследствие следующих факторов:
в результате инициативных злоумышленных действий непосредственных разработчиков алгоритмов и программ;
в результате штатной деятельности специальных служб и организаций, а также отдельных злоумышленников;
в результате применения инструментальных средств проектирования ПО, несущих вредоносное свойство автоматической генерации деструктивных программных средств.
Для описания мотивов злоумышленных действий при разработке программных компонентов необходим психологический "портрет" злоумышленника, что требует проведения специальных исследований психологов и криминологов в области психологии программирования.
Однако некоторые мотивы очевидны уже сейчас и могут диктоваться следующим:
неустойчивым психологическим состоянием алгоритмистов и программистов, обусловленным сложностью взаимоотношений в коллективе, перспективой потерять работу, резким снижением уровня благосостояния, отсутствием уверенности в завтрашнем дне и т.п., в результате чего может возникнуть, а впоследствии быть реализована, мысль отмщения;
неудовлетворенностью личных амбиций непосредственного разработчика алгоритма или программы, считающего себя непризнанным талантом, в результате чего может появиться стремление доказать и показать кому-либо (в том числе и самому себе) таким способом свои высокие интеллектуальные возможности;
перспективой выезда за границу на постоянное место жительства (перспективной перехода в другую организацию, например, конкурирующую) с надеждой получить вознаграждение за сведения о программной закладке и механизме ее активизации, а также возможностью таким способом заблокировать применение определенного класса программных средств по избранному месту жительства;
потенциальной возможностью получить вознаграждение за устранение возникшего при испытаниях или эксплуатации системы "программного отказа" и т.п.
Кроме того, необходимо иметь в виду, что в конструировании вредоносной программы, так или иначе, присутствует притягательное творческое начало, которое само по себе может стать целью. При этом сам "творец" может слабо представлять все возможные результаты и последствия применения своей "конструкции", либо вообще не задумываться о них.
Таким образом, правомерно утверждать, что вредоносные программы, в отличие от широко применяемых электронных закладок, являются более изощренными объектами, обладающими большей скрытностью и эффективностью применения.
Ответы на три последних вопроса можно найти в рамках быстро развивающейся методологии обеспечения безопасности программных средств и оценки уровня их защищенности (разделы 2 и 3).