Методы и средства защиты от несанкционированного доступа

© Панасенко Сергей, 2005

Предлагаемая вашему вниманию статья посвящена проблеме защиты компьютеров от несанкционированного доступа и средствам, позволяющим решить данную проблему.

Проблема несанкционированного доступа

Несанкционированный доступ (НСД) злоумышленника на компьютер опасен не только возможностью прочтения и/или модификации обрабатываемых электронных документов, но и возможностью внедрения злоумышленником управляемой программной закладки, которая позволит ему предпринимать следующие действия:

1. Читать и/или модифицировать электронные документы, которые в дальнейшем будут храниться или редактироваться на компьютере.

2. Осуществлять перехват различной ключевой информации, используемой для защиты электронных документов.

3. Использовать захваченный компьютер в качестве плацдарма для захвата других компьютеров локальной сети.

4. Уничтожить хранящуюся на компьютере информацию или вывести компьютер из строя путем запуска вредоносного программного обеспечения.

Защита компьютеров от НСД является одной из основных проблем защиты информации, поэтому в большинство операционных систем и популярных пакетов программ встроены различные подсистемы защиты от НСД. Например, выполнение аутентификации в пользователей при входе в операционные системы семейства Windows. Однако, не вызывает сомнений тот факт, что для серьезной защиты от НСД встроенных средств операционных систем недостаточно. К сожалению, реализация подсистем защиты большинства операционных систем достаточно часто вызывает нарекания из-за регулярно обнаруживаемых уязвимостей, позволяющих получить доступ к защищаемым объектам в обход правил разграничения доступа. Выпускаемые же производителями программного обеспечения пакеты обновлений и исправлений объективно несколько отстают от информации об обнаруживаемых уязвимостях. Поэтому в дополнение к стандартным средствам защиты необходимо использование специальных средств ограничения или разграничения доступа. Данные средства можно разделить на две категории:

1. Средства ограничения физического доступа.

2. Средства защиты от несанкционированного доступа по сети.

Средства ограничения физического доступа

Наиболее надежное решение проблемы ограничения физического доступа к компьютеру – использование аппаратных средств защиты информации от НСД, выполняющихся до загрузки операционной системы. Средства защиты данной категории называются «электронными замками». Пример электронного замка представлен на рис. 1. Теоретически, любое программное средство контроля доступа может подвергнуться воздействию злоумышленника с целью искажения алгоритма работы такого средства и последующего получения доступа к системе. Поступить подобным образом с аппаратным средством защиты практически невозможно: все действия по контролю доступа пользователей электронный замок выполняет в собственной доверенной программной среде, которая не подвержена внешним воздействиям. На подготовительном этапе использования электронного замка выполняется его установка и настройка. Настройка включает в себя следующие действия, обычно выполняемые ответственным лицом – Администратором по безопасности:

1. Создание списка пользователей, которым разрешен доступ на защищаемый компьютер. Для каждого пользователя формируется ключевой носитель (в зависимости от поддерживаемых конкретным замком интерфейсов – дискета, электронная таблетка iButton или смарт-карта), по которому будет производиться аутентификация пользователя при входе. Список пользователей сохраняется в энергонезависимой памяти замка.

2. Формирование списка файлов, целостность которых контролируется замком перед загрузкой операционной системы компьютера. Контролю подлежат важные файлы операционной системы, например, следующие:

   • системные библиотеки Windows;

   • исполняемые модули используемых приложений;

   • шаблоны документов Microsoft Word и т. д.

Контроль целостности файлов представляет собой вычисление их эталонной контрольной суммы, например, хэширование по алгоритму ГОСТ Р 34.11-94, сохранение вычисленных значений в энергонезависимой памяти замка и последующее вычисление реальных контрольных сумм файлов и сравнение с эталонными. В штатном режиме работы электронный замок получает управление от BIOS защищаемого компьютера после включения последнего. На этом этапе и выполняются все действия по контролю доступа на компьютер (см. упрощенную схему алгоритма на рис. 2), а именно:

1. Замок запрашивает у пользователя носитель с ключевой информацией, необходимой для его аутентификации. Если ключевая информация требуемого формата не предъявляется или если пользователь, идентифицируемый по предъявленной информации, не входит в список пользователей защищаемого компьютера, замок блокирует загрузку компьютера.

2. Если аутентификация пользователя прошла успешно, замок рассчитывает контрольные суммы файлов, содержащихся в списке контролируемых, и сравнивает полученные контрольные суммы с эталонными. В случае, если нарушена целостность хотя бы одного файла из списка, загрузка компьютера блокируется. Для возможности дальнейшей работы на данном компьютере необходимо, чтобы проблема была разрешена Администратором, который должен выяснить причину изменения контролируемого файла и, в зависимости от ситуации, предпринять одно из следующих действий, позволяющих дальнейшую работу с защищаемым компьютером:

   • пересчитать эталонную контрольную сумму для данного файла, т.е. зафиксировать измененный файл;

   • восстановить исходный файл;

   • удалить файл из списка контролируемых.

3. Если все проверки пройдены успешно, замок возвращает управление компьютеру для загрузки штатной операционной системы.

Поскольку описанные выше действия выполняются до загрузки операционной системы компьютера, замок обычно загружает собственную операционную систему (находящуюся в его энергонезависимой памяти – обычно это MS-DOS или аналогичная ОС, не предъявляющая больших требований к ресурсам), в которой выполняются аутентификация пользователей и проверка целостности файлов. В этом есть смысл и с точки зрения безопасности – собственная операционная система замка не подвержена каким-либо внешним воздействиям, что не дает возможности злоумышленнику повлиять на описанные выше контролирующие процессы. Информация о входах пользователей на компьютер, а также о попытках несанкционированного доступа сохраняется в журнале, который располагается в энергонезависимой памяти замка. Журнал может быть просмотрен Администратором. При использовании электронных замков существует ряд проблем, в частности:

1. BIOS некоторых современных компьютеров может быть настроен таким образом, что управление при загрузке не передается BIOS’у замка. Для противодействия подобным настройкам замок должен иметь возможность блокировать загрузку компьютера (например, замыканием контактов Reset) в случае, если в течение определенного интервала времени после включения питания замок не получил управление.

2. Злоумышленник может просто вытащить замок из компьютера. Однако, существует ряд мер противодействия:

   • Различные организационно-технические меры: пломбирование корпуса компьютера, обеспечение отсутствие физического доступа пользователей к системному блоку компьютера и т. д.

   • Существуют электронные замки, способные блокировать корпус системного блока компьютера изнутри специальным фиксатором по команде администратора – в этом случае замок не может быть изъят без существенного повреждения компьютера.

   • Довольно часто электронные замки конструктивно совмещаются с аппаратным шифратором. В этом случае рекомендуемой мерой защиты является использование замка совместно с программным средством прозрачного (автоматического) шифрования логических дисков компьютера. При этом ключи шифрования могут быть производными от ключей, с помощью которых выполняется аутентификация пользователей в электронном замке, или отдельными ключами, но хранящимися на том же носителе, что и ключи пользователя для входа на компьютер. Такое комплексное средство защиты не потребует от пользователя выполнения каких-либо дополнительных действий, но и не позволит злоумышленнику получить доступ к информации даже при вынутой аппаратуре электронного замка.

Средства защиты от НСД по сети

Наиболее действенными методами защиты от несанкционированного доступа по компьютерным сетям являются виртуальные частные сети (VPN – Virtual Private Network) и межсетевое экранирование. Рассмотрим их подробно.

Виртуальные частные сети

Виртуальные частные сети обеспечивают автоматическую защиту целостности и конфиденциальности сообщений, передаваемых через различные сети общего пользования, прежде всего, через Интернет. Фактически, VPN – это совокупность сетей, на внешнем периметре которых установлены VPN-агенты (см. рис. 3). VPN-агент – это программа (или программно-аппаратный комплекс), собственно обеспечивающая защиту передаваемой информации путем выполнения описанных ниже операций. Перед отправкой в сеть любого IP-пакета VPN-агент производит следующее:

1. Из заголовка IP-пакета выделяется информация о его адресате. Согласно этой информации на основе политики безопасности данного VPN-агента выбираются алгоритмы защиты (если VPN-агент поддерживает несколько алгоритмов) и криптографические ключи, с помощью которых будет защищен данный пакет. В том случае, если политикой безопасности VPN-агента не предусмотрена отправка IP-пакета данному адресату или IP-пакета с данными характеристиками, отправка IP-пакета блокируется.

2. С помощью выбранного алгоритма защиты целостности формируется и добавляется в IP-пакет электронная цифровая подпись (ЭЦП), имитоприставка или аналогичная контрольная сумма.

3. С помощью выбранного алгоритма шифрования производится зашифрование IP-пакета.

4. С помощью установленного алгоритма инкапсуляции пакетов зашифрованный IP-пакет помещается в готовый для передачи IP-пакет, заголовок которого вместо исходной информации об адресате и отправителе содержит соответственно информацию о VPN-агенте адресата и VPN-агенте отправителя. Т.е. выполняется трансляция сетевых адресов.

5. Пакет отправляется VPN-агенту адресата. При необходимости, производится его разбиение и поочередная отправка результирующих пакетов.

При приеме IP-пакета VPN-агент производит следующее:

1. Из заголовка IP-пакета выделяется информация о его отправителе. В том случае, если отправитель не входит в число разрешенных (согласно политике безопасности) или неизвестен (например, при приеме пакета с намеренно или случайно поврежденным заголовком), пакет не обрабатывается и отбрасывается.

2. Согласно политике безопасности выбираются алгоритмы защиты данного пакета и ключи, с помощью которых будет выполнено расшифрование пакета и проверка его целостности.

3. Выделяется информационная (инкапсулированная) часть пакета и производится ее расшифрование.

4. Производится контроль целостности пакета на основе выбранного алгоритма. В случае обнаружения нарушения целостности пакет отбрасывается.

5. Пакет отправляется адресату (по внутренней сети) согласно информации, находящейся в его оригинальном заголовке.

VPN-агент может находиться непосредственно на защищаемом компьютере (например, компьютеры «удаленных пользователей» на рис. 3). В этом случае с его помощью защищается информационный обмен только того компьютера, на котором он установлен, однако описанные выше принципы его действия остаются неизменными. Основное правило построения VPN – связь между защищенной ЛВС и открытой сетью должна осуществляться только через VPN-агенты. Категорически не должно быть каких-либо способов связи, минующих защитный барьер в виде VPN-агента. Т.е. должен быть определен защищаемый периметр, связь с которым может осуществляться только через соответствующее средство защиты. Политика безопасности является набором правил, согласно которым устанавливаются защищенные каналы связи между абонентами VPN. Такие каналы обычно называют туннелями, аналогия с которыми просматривается в следующем:

1. Вся передаваемая в рамках одного туннеля информация защищена как от несанкционированного просмотра, так и от модификации.

2. Инкапсуляция IP-пакетов позволяет добиться сокрытия топологии внутренней ЛВС: из Интернет обмен информации между двумя защищенными ЛВС виден как обмен информацией только между их VPN-агентами, поскольку все внутренние IP-адреса в передаваемых через Интернет IP-пакетах в этом случае не фигурируют.

Правила создания туннелей формируются в зависимости от различных характеристик IP-пакетов, например, основной при построении большинства VPN протокол IPSec (Security Architecture for IP) устанавливает следующий набор входных данных, по которым выбираются параметры туннелирования и принимается решение при фильтрации конкретного IP-пакета:

1. IP-адрес источника. Это может быть не только одиночный IP-адрес, но и адрес подсети или диапазон адресов.

2. IP-адрес назначения. Также может быть диапазон адресов, указываемый явно, с помощью маски подсети или шаблона.

3. Идентификатор пользователя (отправителя или получателя).

4. Протокол транспортного уровня (TCP/UDP).

5. Номер порта, с которого или на который отправлен пакет.

Межсетевое экранирование

Межсетевой экран представляет собой программное или программно-аппаратное средство, обеспечивающее защиту локальных сетей и отдельных компьютеров от несанкционированного доступа со стороны внешних сетей путем фильтрации двустороннего потока сообщений при обмене информацией. Фактически, межсетевой экран является «урезанным» VPN-агентом, не выполняющим шифрование пакетов и контроль их целостности, но в ряде случаев имеющим ряд дополнительных функций, наиболее часто из которых встречаются следующие:

• антивирусное сканирование;

• контроль корректности пакетов;

• контроль корректности соединений (например, установления, использования и разрыва TCP-сессий);

• контент-контроль.

Межсетевые экраны, не обладающие описанными выше функциями и выполняющими только фильтрацию пакетов, называют пакетными фильтрами. По аналогии с VPN-агентами существуют и персональные межсетевые экраны, защищающие только компьютер, на котором они установлены. Межсетевые экраны также располагаются на периметре защищаемых сетей и фильтруют сетевой трафик согласно настроенной политике безопасности.

Комплексная защита

Электронный замок может быть разработан на базе аппаратного шифратора. В этом случае получается одно устройство, выполняющее функции шифрования, генерации случайных чисел и защиты от НСД. Такой шифратор способен быть центром безопасности всего компьютера, на его базе можно построить полнофункциональную систему криптографической защиты данных, обеспечивающую, например, следующие возможности:

1. Защита компьютера от физического доступа.

2. Защита компьютера от НСД по сети и организация VPN.

3. Шифрование файлов по требованию.

4. Автоматическое шифрование логических дисков компьютера.

5. Вычислени/проверка ЭЦП.

6. Защита сообщений электронной почты.

14.

Понятие компьютерного вируса

Компьютерный вирус — это фрагмент исполняемого кода, который копирует себя в другую программу, модифицируя ее при этом.

Здесь стоит отметить, что, в первую очередь, это обычная программа, правда, предназначенная не для удовлетворения потребностей пользователя, а наоборот, призванная уничтожить ценную информацию, испортить "досуг" различными сбоями операционной системы и программного обеспечения, нанести материальный ущерб и т. п.

Наиболее характерные черты компьютерных вирусов:

• самостоятельное копирование из каталога в каталог или из файла в файл, что обычно называется "самовоспроизведением". Это позволяет вирусам выживать в условиях постоянной смены программного обеспечения (зараженную программу пользователь может удалить и на этом "жизнь" вируса закончится). Тем более, что наличие копии вируса в каждой папке повышает шанс его копирования на другой компьютер;

• маскировка под полезные программы или режим невидимости, при котором вы даже не подозреваете, что компьютер заражен (при нажатии комбинации клавиш < CTRL >+< ALT >+< DEL > запущенные вирусом файлы не отображаются).

Естественно, что не все программы, которые самостоятельно копируют некоторые файлы в различные каталоги и создают видимость, что ничего не происходит, можно считать компьютерными вирусами.

Существует несколько критериев, позволяющих классифицировать компьютерные вирусы, — это поддерживаемая операционная система, способ заражения, алгоритмы работы, деструктивные возможности.

По операционным системам компьютерные вирусы можно подразделить на:

• вирусы, работающие в среде MS-DOS , — весьма устаревшая категория вирусов, которая еще может в отдельных случаях быть опасной, напри мер для Windows 9x или MS-DOS , но в операционных системах Windows NT они просто не могут быть запущены по вполне естественным причинам;

• вирусы, работающие в среде Windows 9x , — наиболее широко распространенная категория вирусов, по сей день представляющая большую опасность;

• вирусы, работающие в среде Windows NT , — наиболее "продвинутые" ви русы, т. к. некоторые особенности работы операционных систем данного семейства по своей сути сами по себе защищают компьютер от воздействия вирусов, например блокируется прямой доступ к управлению аппаратными ресурсами.

По алгоритму заражения все многообразие компьютерных вирусов разделяют на следующие категории:

• файловые вирусы заражают программные файлы с такими расширениями, как COM , EXE , DLL , SYS , DRV , VXD . Файловые вирусы могут заражать файлы практически любой операционной системы независимо от ее версии. Отдельной категорией стоят вирусы, которые заражают документы, соз данные при помощи пакета программ Microsoft Office , это так называемые макровирусы;

• загрузочные вирусы, или как их еще называют boot -вирусы (бутовые), которые заражают загрузочные области дискет и жестких дисков, точнее ту их часть, что не используется системными файлами. Такие вирусы заражают практически все дискеты, которые используются на зараженном компьютере.

• Особенность загрузочных вирусов состоит в том, что они загружаются в память компьютера еще до запуска операционной системы, а значит, до запуска антивируса, что несколько затрудняет своевременное их обнаружение, особенно, если программа для "ловли вирусов" при запуске компьютера не проверяет оперативную память. Еще одним нюансом загрузочных вирусов является то, что в операционных системах типа Windows многие из них не способны к заражению других дисков;

• загрузочно-файловые вирусы обладают возможностью заражения как раз личных файлов, так и загрузочной области дисков. При этом заражение может произойти даже при простом обращении к зараженному диску или при запуске зараженного файла;

• сетевые вирусы — эта категория вирусов способна самостоятельно пере давать свой программный код всем компьютерам, подключенным к локальной сети. Часто эту категорию вирусов называют червями;

• "троянские кони" — эта категория вирусов, как правило, никогда не заражает файлы или загрузочную область диска, а просто прописывает себя в автозагрузку и ждет, когда же вы введете некий пароль, чтобы отправить его создателю вируса. Такие программы предназначены, в основном, для кражи ценной информации.

Способы заражения могут быть совершенно разными. Например, вирус активируется при запуске операционной системы и остается в оперативной памяти до завершения работы компьютера, при этом заражаются все файлы и диски, к которым обращается система во время своей работы. Или другой вариант — после первого запуска вирус "прописывает" себя в автозагрузку и после каждой загрузки операционной системы в память компьютера копируется программный код вируса. Вариантов может быть великое множество, поэтому все их мы рассматривать не будем.

В принципе, если в подробностях изучать разновидности компьютерных вирусов, то можно посвятить этому целую книгу, но в данном случае нас интересует в первую очередь то, как можно от них избавиться.

Понятие антивирусной программы

Антивирусная программа — это программа, которая предотвращает заражение ПК компьютерными вирусами и позволяет устранить последствия заражения.

Вполне естественно, что раз существуют компьютерные вирусы, то существуют и антивирусные программы, позволяющие эти самые вирусы удалять с компьютера, а иногда даже спасать поврежденную информацию. Чтобы предотвратить возможность "заражения" компьютера, обычно используются антивирусные программы, которые можно подразделить на два основных вида:

• антивирусный сканер — эта категория позволяет проверять файлы и каталоги, содержащиеся на жестком диске или на любом сменном носителе, на наличие в них программного кода, характерного для того или иного компьютерного вируса (не секрет, что вирусы "прикрепляют" себя к исполняемым файлам других программ). При этом вы можете запустить проверку в любое удобное для вас время;

• антивирусный монитор — данная категория предназначена для постоянного контроля всех запускаемых программ и копируемых (перемещаемых, удаляемых, открываемых) файлов. Как правило, антивирусный монитор запускается вместе с операционной системой и контролирует все процессы, выполняемые в оперативной памяти. В качестве дополнительной услуги монитор может проверять файлы на жестком диске, если на компьютере в течение определенного времени не осуществляется никаких работ. При этом работа компьютера несколько замедляется, а то и вообще становится очень медленной. Здесь все зависит от того, какие по размеру файлы используются. Особенно замедление работы заметно на играх.

На сегодняшний день наиболее популярными являются антивирусные про граммы:

• AVP или Антивирус Касперского, официальный сайт http://www.kaspersky.ru/ 

• Dr . Web , созданная специалистами компании "Диалог-Наука" http://www.dials.ru/ 

• Symantec Norton Antivirus, http://www.symantec.com/ 

Каждый вирус (без исключения) имеет в своем "теле" характерный только для него программный код, который, как правило, не похож ни на одну "полезную" программу или утилиту. Именно эта часть кода содержится в специальном файле антивирусной программы, который обычно называется антивирусной базой.

Помимо антивирусных программ, в лечении компьютерных вирусов могут помочь такие программы, как Process Viewer , позволяющие не только увидеть абсолютно все программы, запущенные на данном компьютере, но и удалить любую программу из оперативной памяти, принудительно прервав ее выполнение. Этим самым вы можете остановить выполнение компьютерного вируса, позволив антивирусной программе вылечить или удалить все зараженные файлы (обычно один или несколько файлов не доступны для лечения из-за того, что они используются запущенными программами).

Как происходит заражение компьютера вирусом?

На этот вопрос можно дать очень простой ответ: "Всему виной Интернет". Так или иначе компьютерные вирусы попадают на компьютер пользователя посредством так называемой глобальной сети — либо вместе с электронным письмом, либо когда сам пользователь скачивает некоторый файл, содержащий вирус, и потом запускает его на своем компьютере или несет на дискете на компьютер друга, коллеги.

Давайте разберемся подробнее, как же на самом деле все происходит и чего следует в первую очередь опасаться.

Вариант первый — зараженная дискета. При этом заражение может происходить как при открытии содержимого дискеты (например, вирус VBS . Redlof ), так и при открытии файла, например, зараженного макровирусом. Дискеты все реже используются в качестве загрузочных, но вариант заражения в момент загрузки с дискеты нельзя полностью исключить, т. к. забытая дискета в дисководе в момент запуска компьютера несет в себе потенциальную опасность. Если на ней имеется загрузочный вирус, тогда он загружается в память компьютера при первом же обращении к ней, при этом он может успеть заразить загрузочную область жесткого диска. То же самое относится и к жестким дискам, подключаемым к компьютеру, а также компакт-дискам. Наиболее полную защиту от подобной ситуации дают анти вирусные мониторы, блокирующие доступ к зараженному диску или файлу. Вариант второй — электронная почта. При этом заражение может происходить либо при запуске файла, вложенного в письмо и содержащего программный код вируса, либо при просмотре письма, когда вирус запускается автоматически, используя так называемые "дыры" (ошибки в программе), позволяющие подобный запуск. Самую большую гарантию безопасности при этом могут дать антивирусные мониторы или специальные модули, специализирующиеся на проверке поступающей почты.

Вариант третий — скачивание файлов. При этом практически любой скаченный вами файл может быть заражен компьютерным вирусом, поэтому прежде чем любой из них использовать (распаковывать, запускать), следует проверить их антивирусным сканером, хотя в большинстве случаев можно положиться на программу-монитор.

Борьба с компьютерными вирусами на практике

Самое главное правило — как только компьютер начал выдавать не появляющиеся ранее ошибки, обязательно проверьте все файлы на жестком диске антивирусным сканером. Возможно, проблема связана с повреждением какого-нибудь системного файла, но в любом случае нельзя пренебрегать определенными мерами безопасности.

Если вы регулярно и особенно подолгу работаете в сети Интернет, тогда вам следует установить на свой компьютер антивирусный монитор, который будет "фильтровать" все поступающие на ваш компьютер данные.

Если у вас нет доступа ни к сети Интернет, ни к какой-либо локальной сети, тогда вам будет вполне достаточно регулярно пользоваться антивирусным сканером, а самое главное, проверять им все поступающие на компьютер данные с дискет или же компакт-дисков и других носителей.

Если вы обнаружили или подозреваете, что ваш компьютер заражен компьютерным вирусом, ваши действия должны быть следующими:

• сохраните наиболее важную информацию на сменных носителях. Даже если эти файлы также окажутся зараженными, можно будет потом, не торопясь, "вылечить" их, а пока что вас должна волновать операционная система. Лучше всего все это делать после загрузки компьютера с загрузочного диска, обязательно созданного на незараженном компьютере;

• проверьте жесткий диск антивирусной программой, при этом антивирусные базы должны быть как можно более новыми;

• при обнаружении зараженного файла попытайтесь "вылечить" его, если же это не удается, тогда смело удаляйте зараженный файл — лучше заново установить ту программу, к которой он принадлежит, чем впоследствии потерять информацию;

• после удаления компьютерного вируса иногда приходится переустанавливать операционную систему или некоторые программы;

• сменные носители после "лечения" или вместо него можно отформатировать;

• жесткий диск можно избавить от загрузочного вируса командой fdisk / mbr . При этом предварительно следует загрузиться с "чистого" загрузочного диска, на котором имеется программа FDISK . Обратите внимание, что не все вирусы вы сможете удалить с жесткого диска путем форматирования, т. к. при этом совсем не затрагиваются некоторые служебные области, создаваемые при создании на нем разделов.

Для того чтобы убедиться в отсутствии или наличии на своем компьютере "троянских коней", можно запустить редактор системного реестра (команда REGEDIT ) и открыть по очереди следующие ветви:

HKEY_CUKRENT_USER\Software\ Microsoft\Windows\CurrentVersion\Run HKEY_LOCAL_MACHINE\SOFTWARE\ Microsoft\Windows\CurrentVersion\Run HKEY_LOCAL_MACHINE\SOFTWARE\ Microsoft\Windows\CurrentVersion\RunServices HKEY_USERS\.DEFAULT\Software\ Microsoft\Windows\CurrentVersion\Run

Если в одной из них имеется подозрительный ключ, не относящийся к программам, которые вы устанавливали или которые использует операционная система, тогда вам следует срочно воспользоваться антивирусной программой.

Теперь о практическом использовании антивирусных программ. Самое главное правило — следует использовать только новые антивирусные базы. После установки программы с компакт-диска обязательно проверьте, какого числа было произведено последнее обновление. Например, для программы Kaspersky Anti - Virus это можно сделать, выбрав пункт меню Справка | О Программе. Дата последнего обновления должна быть не позже, чем 30 дней назад, потому что за этот период обычно успевает появиться немалое количество новых вирусов, против которых "старый" антивирус бессилен. Обновление базы для описываемой программы можно найти на интернет-сайте http://www.kaspersky.ru . Обратите внимание на то, что антивирус с устаревшей базой может даже способствовать распространению вирусов, т. к. у пользователя в таком случае создается ложное представление о безопасности. Нельзя забывать и о возможности защиты от макровирусов, встроенных в программы пакета Microsoft Office .

При установке антивирусной программы, как правило, предлагается устанавливать как сканер, так и монитор, поэтому отдельно остановимся на особенностях работы антивирусного монитора. Дело в том, что до того момента как, например, открываемый файл будет проверен на наличие в нем вирусов, доступ к нему блокируется. Зачастую создается впечатление, что компьютер завис, но это не так. К сожалению, одновременное использование антивирусного монитора и сложных игровых программ, использующих большое количество графических текстур, приводит к снижению производительности компьютера из-за периодической блокировки файлов. Такова плата за антивирусную безопасность. В этом случае следует перед запуском игры завершать работу монитора.

Единственно, что остается добавить, если на вашем компьютере установлен модем, то наличие установленного антивирусного монитора обязательно. В остальных же случаях можно ограничиться установкой антивирусного сканера и периодической профилактической проверкой жесткого диска. И главное, помните, что антивирусная программа с устаревшей базой не способна обнаружить и удалить новые виды вирусов.

17.

 

Понятие о компрометации электронной цифровой надписи

Чтобы понять весь спектр проблем, связанных с электронным документооборотом, и с ЭЦП в частности, надо сперва понять, что это такое.

Вот какое определение ЭЦП дается в самом Федеральном законе:

«Электронная цифровая подпись - реквизит электронного документа, предназначенный для защиты данного электронного документа от подделки, полученный в результате криптографического преобразования информации с использованием закрытого ключа электронной цифровой подписи и позволяющий идентифицировать владельца сертификата ключа подписи, а также установить отсутствие искажения информации в электронном документе»[xi]. Примерно такое же определение дает и Википедия[xii], разве что слово «подделка» меняется на «модификация».

Стоит сказать отдельно, что, несмотря на то, что определение в Федеральном законе дает понятие ЭЦП как реквизит для защиты электронного документа, строго говоря, электронная цифровая подпись не предназначена для защиты информации. Она не защищает сам документ от изменений – вы сможете править его как захотите. Это средство обнаружения искажений электронного документа и аутентификации владельца сертификата ключа подписи (подтверждения соответствия электронной цифровой подписи (аутентификатора) в электронном документе владельцу сертификата ключа подписи, подписавшему данный документ (подтверждение подлинности). Проверка электронной цифровой подписи есть ничто иное как процесс подтверждения ее подлинности в электронном документе. Отсюда можно сделать простой вывод: ЭЦП – это аутентификатор владельца сертификата ключа подписи. А так сертификат ключа ЭЦП, который фактически заверяет документ, программное средство, то возникает необходимость от его компрометации (подделки, фальсификации, имитации, модификации).

ЭЦП используется в качестве аналога собственноручной подписи для придания электронному документу юридической силы, равной юридической силе документа на бумаге, подписанного собственноручной подписью и скрепленного печатью.

Основным отличием электронной цифровой подписи от рукописной является то, что ЭЦП заверяет не бумагу или носитель, а само содержание документа — данные, информацию. При подписании ЭЦП становится частью содержания каждого индивидуального документа и соответствует только этому документу. Если в документ после подписания будут внесены хоть малейшие изменения, электронная цифровая подпись окажется неверной. При проверке средствами ЭЦП такая подпись опознается, и документ не имеет юридической силы. Таким образом, становится возможным безопасно передавать документы через локальные сети и Интернет, при наличии средств, позволяющих работать с ЭЦП.

 Применение Электронной цифровой подписи позволяет значительно сократить время движения документов в процессе оформления отчетов и обмена документацией. Документы, подписанные Электронной цифровой подписью, передаются через Интернет или локальную сеть в течение нескольких секунд. Все участники электронного обмена документами получают равные возможности, независимо от их удаленности друг от друга.

Фактически, именно различие в определениях, данных математиками и юристами, и определяет все последующие возникающие проблемы, связанные с ЭЦП.

Необходимость в максимальном затруднении компрометации заставляет математиков и программистов создавать новые, более совершенные методы защиты ЭЦП от компрометации.

Почему же так важен вопрос защиты от компрометации? Рассмотрим, где сейчас реально применяется ЭЦП:

-юридически значимый документооборот;

-банковские системы ("Интернет-банкинг" и "Клиент-банк");

-системы электронных госзаказов и электронной торговли (e-commerce);

-системы контроля исполнения государственного бюджета;

-системы обращения к органам власти (e-government);

-обязательная отчетность (в частности, интенсивно развивающаяся безбумажная отчетность перед органами ГНС);

-декларирование товаров и услуг (таможенные декларации);

-регистрация сделок по объектам недвижимости;

-защита почтовых сообщений и др.

Во всех вышеперечисленных системах главным условием интенсивного обмена информацией является наличие доверительных отношений между пользователем (клиентом) и сервером. При обмене информацией должны соблюдаться такие общеизвестные требования, как гарантированное соблюдение конфиденциальности и целостности, а также неотказуемости автора.

Даже поверхностный анализ показывает, что использование злоумышленником ЭЦП легального пользователя в любой из перечисленных систем может привести к ощутимым финансовым потерям. Если вместо вас кто-то отправит якобы подписанный вами финансовый документ и, например, снимет с вашего расчетного счета несколько миллионов долларов. Естественно, вам захочется как можно быстрее найти виновного и вернуть деньги. Вы обратитесь в финансовый институт (например, банк) и попытаетесь найти виновного там. Вам подтвердят документально, что информационная система банка построена в соответствии с существующими нормативно-правовыми актами, сеть аттестована по соответствующему классу, а для формирования и проверки подписи используются только сертифицированные средства ЭЦП. И еще напомнят, что при получении ключевого материала вам были предложены альтернативные носители, из которых вы выбрали самый дешевый. Например, дискету... И еще напомнят, что хранение закрытого ключа электронной цифровой подписи - обязанность владельца[xiii]. Круг замкнулся. Во всем виноваты вы сами. А все ли вы знали и действительно ли вас предупреждали о возможности компрометации ключа до того, как произошла материальная потеря? Но обо всем по порядку.

Впервые идея использования криптографической системы, основанной на паре ключей (принцип, на котором основана ЭЦП) возникла в Америке. В 1976 году Уитфилд Диффи (Whitfield Diffie) и Мартин Хеллман (Martin Hellman) высказали идею метода шифрования с открытым и закрытым ключами. Тогда же появилось само понятие «электронной цифровой подписи». Вскоре последовала его первая практическая реализация —RSA, предложенная Рональдом Райвестом (Ronald Rivest), Эди Шамиром (Adi Shamir) и Леонардом Эйдлеманом (Leonard Adleman). По первым буквам их фамилий криптосистема получила название RSA. Ее уже можно было без дополнительных модификация использовать для создания простейших цифровых подписей. Вскоре после RSA были разработаны другие ЭЦП, такие как алгоритмы цифровой подписи Рабина, Меркле.

В 1984 году были определены требования безопасности к алгоритмам цифровой подписи. Ими были описаны модели атак на алгоритмы ЭЦП, а также предложена схема GMR, отвечающая описанным требованиям

Т. Эль_Гамаль (T. El Gamal) в 1985 г. разработал криптографическую систему, которая стала основой для создания государственных стандартов цифровой подписи как США (Digital Signature Standard — DSS), так и России.

В эпоху триумфального шествия персональных компьютеров появилась возможность реализовать на них эти криптографические алгоритмы. Идея увлекла американского математика и программиста Филипа Циммермана (Philip Zimmermann). В 1990 году он разработал недорогую и простую коммерческую программу для массового пользователя и опубликовал ее в Интернете, назвав Pretty Good Privacy (сокращенно PGP). Эта программа стала первой практически реализованной системой, основанной на алгоритме RSA. Она и положила начало развития применения Электронной цифровой подписи во всем мире.

В 1994 году Главным управлением безопасности связи Федерального агентства правительственной связи и информации при Президенте Российской Федерации был разработан первый российский стандарт ЭЦП[xiv], основанный на вычислениях в группе точек эллиптической кривой и на хеш-функции[xv]. В 2002 году для обеспечения большей криптографической стойкости алгоритма взамен предыдущего был введен новый стандарт[xvi]. Уже в соответствии с этим стандартом термины «электронная цифровая подпись» и «цифровая подпись» являются синонимами.

И так, в силу сложившихся обстоятельств вы решили, что вам необходима ЭЦП. Вы приходите в Удостоверяющий центр (в РФ выдачей ключей занимаются т.н. Удостоверяющие центры) и подписываете договор на приобретение ЭЦП и ее обслуживание. Для формирования вашего сертификата ключа ЭЦП необходим только ваш открытый ключ. Если его у вас нет, то при вас генерируется ключевая пара – открытый и закрытый ключи. Закрытый (секретный) ключ и открытый ключ вашей ЭЦП, гарантом подлинности которого является выдавший его Удостоверяющий центр, в электронном виде передается вам на носителе. Носителем может быть дискета, смарт-карта или USB-носитель. Если в упомянутом выше договоре с Удостоверяющим центром нет пункта о депонировании и ответственном хранении вашего закрытого ключа в защищенном хранилище центра, то сотрудник центра обязан удалить его из компьютера после передачи вам. По определению закрытый ключ всегда хранится у пользователя, а сертификат ключа ЭЦП, подписанный выдавшим его Удостоверяющим центром, формируется на основе открытого ключа.

Проведем простые аналогии ЭЦП с собственноручной подписью на бумажном носителе. При оформлении серьезных сделок идентификация производится с помощью паспорта. Вы бережно храните свой паспорт от попадания в чужие руки, поскольку даже в социалистические времена были распространены различные виды действий злоумышленников, самым безобидным из которых было взять в бюро проката бытовой техники на приличную сумму под чужой паспорт. Известно, что эту сумму в судебном порядке взыскивали с бывшего владельца паспорта, не успевшего быстрее вора заявить о пропаже в милицию. Действия злоумышленника в данном случае подпадают под определение социальной атаки.

Если у вас каким-либо образом (прямая кража, копирование) украли закрытый ключ цифровой подписи, об этом необходимо как можно быстрее (чтобы обогнать злоумышленника) известить УЦ, который выдал сертификат ключа ЭЦП. Это и называется компрометацией закрытого ключа ЭЦП.

Известно, что наиболее надежным способом аутентификации на сегодня являются программно-аппаратные решения, или так называемые двухфакторные модели (пользователь должен иметь "нечто" и знать "нечто"). Другими словами, для проведения так называемой строгой аутентификации должны применяться технологии смарт-карт-логона, основанные на использовании цифровых сертификатов Х.509. Это позволяет полностью отказаться от применения парольной защиты. Такой подход обеспечивает проверку прав пользователя и истинность сервера (сервер не подменен злоумышленником) с помощью криптографических методов. Вероятность взлома защиты сертификата ЭЦП очень мала, для этого потребовался бы слишком большой объем вычислений. Остается «человеческий фактор».

Перечислим некоторые наиболее вероятные угрозы компрометации[xvii]:

-хранение ключа в открытом (незашифрованном) виде;

-хранение ключей непосредственно на дисках ПК владельца;

-хранение ключей на ненадежных (в техническом плане) носителях (дискетах);

-передача ключевого носителя сторонним пользователям;

-отсутствие контроля за использованием ключевых носителей (например, ключевая дискета, забытая в дисководе и т.д.).

Конечно, все зависит от состояния информационной системы вашего предприятия и/или вашего компьютера, если вы работаете дома. Все вероятные угрозы перечислить невозможно. Однако, одним из основных принципов гарантированного сохранения закрытого ключа в тайне, как указывалось выше, является минимизация риска (а лучше исключение возможности) потери ключа, доступа к нему посторонних лиц и его надежная защита от копирования. Ответ на вопрос, являетесь ли вы посторонним лицом или истинным владельцем хранилища ключевой информации (называемым персональным идентификатором), и насколько вам можно доверять, дает процесс под названием аутентификация. Под аутентификацией следует понимать процесс проверки подлинности предъявленных объектом идентификационных параметров, как правило, с применением криптографических методов. Если оба процесса проходят успешно, пользователь получает доступ в систему. Различают простую (однофакторную) и строгую (двухфакторную) аутентификацию. К факторам аутентификации относят: знание пользователем пароля или PIN-кода, предъявление пользователем персонального идентификатора (смарт-карты, USB-ключа класса eToken, таблетки iButton, дискеты, и т.д).

Правила хранения ключа должны зависеть от востребованности ЭЦП. Если ее приходится применять несколько раз в день, то все рабочие процессы должны быть технологичны и удобны. Идеально, если функции носителя ключевой информации и персонального идентификатора для доступа в помещения офиса, к компьютеру, корпоративной сети и защищенным ресурсам совмещены в едином устройстве. Такие устройства существуют и успешно используются.

Но даже если ваш ключ всесторонне защищен сейчас, нет гарантии, что он будет так же защищен позже. Из-за того, что закон[xviii] определяет, что владельцами сертификата ключа подписи могут являться только физические лица, существует большая проблема единого универсального способа чтения ЭЦП. Наиболее часто ЭЦП применяется юридическими лицами, в которых владельцем ключа пишется либо руководитель, либо главный бухгалтер, а при смене ими места работы возникают проблемы, связанные с владельцем сертификата. Он же фактически подписывает документы от своего имени, а не от фирмы как юридического лица. Дополнительная возможность для компрометации ЭЦП налицо. В Европе давно применяется большое количество ЭЦП в зависимости от владельца сертификата, которым может быть как юридическое, так и физическое лицо.

Существует и проблема универсализации ЭЦП. На настоящий момент в РФ действует огромное количество УЦ, и, хотя создание новых представляет определенную трудность (необходимо получить большое количество лицензий, в частности лицензию ФСБ России на осуществление предоставления услуг в области шифрования информации, и пр., их число продолжает множиться, В Пензенской области услуги по выдаче сертификатов ключа ЭЦП предоставляет большое количество организаций. Например, Пензенский филиал Удостоверяющего Центра РПЦ ПАРТНЕР, ЗАО "Удостоверяющий центр"[xix], ЗАО «Калуга Астрал» и др., работающие на территории Пензенской области. При заключении договора эти организации осуществляют предоставление и обслуживание ЭЦП юридическим и физическим лицам. Во многих из них есть свои внутренние правила к заполнению документов по регистрации новых владельцев сертификатов ключей, и они зачастую не совпадают с такими же, у другого УЦ. Часто проблема лежит как раз из-за понимания физического лица как владельца сертификата ключа. А отсутствие единого, корневого УЦ, порождает некоторый беспорядок. Часто правительства разных областей вкладывают деньги в электронный документооборот, повторно проходя те же препятствия и проблемы, что проходили соседи, хотя при существовании единого УЦ этой проблемы вообще бы не существовало.

К сожалению, компрометации ЭЦП совсем не редкость. Интернет пестрит подобными сообщениями. При их изучении может показаться, что подобные проблемы – удел маленьких фирм, где защита не так надежна, как должна была бы быть. На самом деле страдают все, просто цена репутации у больших фирм больше, и им выгоднее скрыть компрометацию, чем вынести в средства массовой информации. Немалая часть хакерских атак на различные учреждения имеют цель получение конфиденциальной информации о клиентах, в том числе и данных по ЭЦП. Считается, что службы безопасности таких организаций должны работать над этими проблемами, но в реальности они из-за низкой квалификации персонала не справляются. «Человеческий фактор» остается. Его можно минимизировать, но полностью исключить не удастся.

Понятие «электронная цифровая подпись»

Для последующего анализа понятий, используемых в Федеральном законе «Об электронной цифровой подписи» [26], приведем известные определения в соответствии с международным стандартом ИСО/МЭК 14888-1-98 [29].

(Электронная) цифровая подпись (digital signature), ЭЦП — строка бит, полученная в результате процесса формирования подписи.

Процесс формирования ЭЦП (signature process) — совокупность двух последовательных преобразований: вычисление хэш-кода сообщения; выработка собственно ЭЦП на основе криптографического преобразования хэш-кода сообщения.

Хэш-код (hash-cod) — строка бит, являющаяся выходным результатом хэш-функции.

Хэш-функция (hash-function) — функция, отображающая строки бит в строку бит фиксированной длины, такая, что:

·        по данному результату функции невозможно вычислить исходные данные, отображенные в этот результат;

·        для заданных исходных данных трудно найти другие исходные данные, отображаемые с тем же результатом;

·        для двух произвольных исходных данных трудно найти одинаковое отображение.

Ключ подписи (signature key) — элемент тайных данных, специфичный для объекта и используемый только данным объектом в процессе формирования ЭЦП (часто используются синонимы «личный ключ», «закрытый ключ», в ГОСТе Р 34.10.94 [38] написано «…элементсекретных данных»). В России секретность ассоциируется с государственной тайной, в таком случае секретный ключ должен храниться в соответствии с режимными требованиями. На самом же деле речь идет именно о личной тайне владельца ключа.

Ключ проверки (verification key) — элемент данных, математически связанный с ключом подписи объекта, и используемый проверяющей стороной в процессе проверки ЭЦП (используется также термин «открытый ключ»).

Теперь можно попытаться разобраться, о чем гласит Закон об ЭЦП [26]. Объект законодательства определен в статье 3 (абзац 3): — «Электронная цифровая подпись — реквизит ЭлД, предназначенный для защиты данного ЭлД от подделки, полученный в результате криптографического преобразования информации с использованием закрытого ключа ЭЦП и позволяющий идентифицировать владельца сертификата ключа  подписи, а также установить отсутствие искажения информации в ЭлД».

Комментарий. Во-первых, цифровая подпись предназначена для аутентификации автора документа, но не для защиты документа от подделки. Конечно, при определенных условиях ЭЦП позволяет выявить подделку, но тогда с таким же успехом и отпечатки пальцев можно определить как средство защиты от преступления. Документ, подписанный лицом, не имеющим на то полномочий, является недействительным. При  этом цифровая подпись подлинная, однозначно определяет автора и, согласно Закону, защищает документ от подделки. Следовательно, если исходить из Закона, то документ подлинный.  

Во-вторых, ЭЦП не является результатом «криптографического преобразования», а есть результат двух последовательных преобразований:открытое и общедоступное — вычисление хэш-кода информации; криптографическое — формирование собственно ЭЦП на основе хэш-кода. О хэшировании в Законе не говорится ни единого слова, в сертификате на подпись требования к хэшированию, судя по тексту Закона,  не включаются.

Односторонние функции широко применяются в криптографии, но если называть хэширование криптографическим преобразованием, то тогда и сложение двух чисел по модулю третьего или перестановка чисел или возведение в степень являются криптографией. Можно допустить, что законодатели включают хэш-функцию в средства ЭЦП — «аппаратные и (или) программные средства, обеспечивающие создание и подтверждение ЭЦП, а также создание открытых и закрытых ключей» (Ст. 3). Следует ли в таком случае, что компьютер или клавиатура, или оперативная память — средства ЭЦП? Кто определяет водораздел?

Возникает пространство для субъективного толкования предписаний Закона. Если относить хэш-функцию к криптографическим средствам ЭЦП, то алгоритм хэширования можно задать принудительно, в том числе, можно заставить субъекта применять «плохую» хэш-функцию, секрет (изготовление двойника документа) которой известен компетентным организациям. Тогда никакая криптография при формировании собственно цифровой подписи от подделки не защитит. Аргументируя статьями Закона, любой юрист может утверждать, что ЭлД с такой «плохой» хэш-функцией также является подлинным: его цифровая подпись удовлетворяет всем требованиям ст. 4-1 Закона, значит, искажения отсутствуют. С другой стороны, если считать, что хэш-функция не является средством ЭЦП, то ответственность за ее применение возлагается на отправителя документа, и претензии к центру, удостоверяющему цифровую подпись, не имеют правовой основы.

В-третьих, ЭЦП не позволяет «идентифицировать владельца подписи». Что такое идентификация? Отнесение одного из представленного множества объектов к некоторой категории. Идентифицировать владельца подписи — это опознать из шеренги людей того, кто подписал данный документ. Но на самом деле требуется «привязать» документ как объект к субъекту-автору, существующему независимо и вне документа, аутентифицировать документ.

Аутентификация документа — объективное подтверждение содержащейся в нем идентифицирующей информации. Понятия «идентификация (identification — отождествление)» и «аутентификация (authentification — достоверность)» близки; в аналоговой среде — среде приблизительной терминологии — обычно используется первое. В электронной среде, требующей однозначности, такое совмещение смыслов ведет к абсурдным результатам. Не случайно, что термин «аутентификация» стал широко использоваться именно в сфере электронного взаимодействия.В-четвертых, ЭЦП не позволяет установить «отсутствие искажения» в ЭлД, а является средством обнаружения подделки документа. Подлинность ЭЦП говорит только о том, что возможные искажения не выявлены, вероятность «пропуска» подделки не равна нулю, хотя и очень мала. А вот если метод дискредитации ЭЦП известен, то подделка проста. Если у вас поддельный документ с подлинной цифровой подписью, то судебное разбирательство невозможно: по закону в документе отсутствуют искажения, документ подлинный. Признать обратное — нарушить Закон.В работе [39] рассмотрен случай, когда владелец, исходя из известных хэш-кодов двух различных сообщений, может рассчитать две пары (закрытый — открытый) ключей таким образом, что построенные на разных закрытых ключах ЭЦП этих разных сообщений будуттождественны. После этого владелец отказывается от подписанного им при помощи первого закрытого ключа сообщения, утверждая, что на самом деле он подписывал второе сообщение другим закрытым ключом. По закону ЭЦП «защищает от подделки» и подтверждает «отсутствие искажений», так что за «случайное» совпадение владелец не отвечает и требует соответствующих страховых выплат.Статистическая значимость количества ошибок в столь важных позициях ответственных документов, разрабатываемых разными коллективами и в разных странах, исключает субъективные причины. Это не отдельные результаты, которые можно было бы объяснить субъективными причинами, неудачно выбранными словами для изложения в целом правильного положения: нечеткость (fuzzy) семантики языка позволяет «придраться» к любому определению. Это парадоксы в исходных понятиях, лежащие на поверхности. Только в цитированных документах можно указать помимо приведенных еще десяток неверных положений.Системные положения существующих законов и разрабатываемых законопроектов не учитывают структурный сдвиг в электронном взаимодействии, обусловленный отказом от взгляда на ЭВМ как на «большую пишущую машинку». Еще некоторое время существующие нормативные материалы будут достаточно эффективны. Однако этот этап заканчивается, банковские технологии электронного взаимодействия  уже сейчас представляют собой фактически безлюдные технологии. Опыт последних 5—7 лет показывает, сколь быстро страна прошла путь к массовому применению ПЭВМ, а темпы информатизации все нарастают.Законы необходимо отражают доминирующее в обществе представление об электронной информации. Менталитет меняется медленнее технологии, господствующие взгляды на электронный документ не соответствуют требованиям уже ближайшей перспективы. Становится очевидным, что в рамках традиционного описания информационного взаимодействия между мыслящими субъектами невозможно адекватное отображение процессов в электронной среде. Существующий подход, опирающийся на понятийную базу обмена информацией посредством традиционного (аналогового) документа, не соответствует требованиям современного, и тем более — будущих этапов развития электронного взаимодействия.Необходимо исследование системных особенностей электронного документа, его отличий от традиционного, разработка новой вербальной модели электронного документа.

18.