- •Понятие информации и информационной безопасности.
- •Основные угрозы информационной безопасности.
- •Меры по обеспечению информационной безопасности, принципы надежной системы защиты.
- •Аппаратно-программные средства защиты информации.
- •2.1. Понятие надежной системы и критерии оценки надежности.
- •2.2. Основные элементы политики безопасности.
- •2.3. Основные положения «Оранжевой книги», классы безопасности.
- •2.4. Основные положения «Общих критериев» (изданных 1 декабря 1999 г)
- •3.1. Простые криптосистемы (из материалов докладов) смотри так же 3.2, 3.3
- •3.2. Понятие криптографических методов защиты, основные требования к криптографическому закрытию информации.
- •3.3. Классификация основных методов криптографического закрытия информации.
- •3.4. Организационные проблемы криптозащиты.
- •4.1. Стандарт шифрования des, основные достоинства и обобщенная схема.
- •4.2. Структура алгоритма шифрования des.
- •4.3. Алгоритм вычисления ключей для des.
- •4.4. Режимы работы алгоритма des.
- •5.1. Алгоритм шифрования idea, основные отличия от des.
- •6.1. Алгоритм шифрования гост 28147-89 и его особенности.
- •6.2. Основные режимы шифрования по гост 28147-89.
- •6.3. Отличия алгоритмов шифрования по гост 28147-89 и des.
- •7.1. Концепция криптосистем с открытым ключом, однонаправленные функции.
- •7.2. Система распределения ключей Диффи-Хелмана.
- •7.3. Система криптографической защиты rsa.
- •7.4. Электронная подпись в системах с отрытым ключом.
- •8.1. Проблема аутентификации данных и электронная цифровая подпись (общие сведения).
- •8.2. Однонаправленные хэш-функции и основы их построения.
- •8.3. Однонаправленные хэш-функции на основе симметричных блочных алгоритмов.
- •8.4. Российский стандарт хэш-функции по гост р 34.11-94.
- •8.5. Алгоритм цифровой подписи rsa и его недостатки.
- •8.6. Алгоритм цифровой подписи Эль Гамаля (egsa).
- •8.7. Алгоритм цифровой подписи dsa.
- •8.8. Российский стандарт цифровой подписи.
- •9.1. Защита от копирования, основные системы и способы защиты.
- •9.2. Защита от копирования – привязка к дискете.См. Также 9.1
- •9.3. Защита от копирования – привязка к компьютеру.
- •9.4. Защита от копирования – привязка к ключу, опрос справочников, ограничение использования по.
- •10.1. Защита от несанкционированного доступа, функции систем защиты.
- •10.2. Идентификация и аутентификация, две типовые схемы.
- •10.3. Идентификация и аутентификация на основе биометрических методов.
- •10.4. Взаимная проверка подлинности пользователей при защите от нсд.
- •11.1. Программы с потенциально опасными последствиями, определения и классификация.
- •11.2. Вирусы и варианты их классификации.
- •11.4. Общая классификация средств защиты от вирусов.
- •12.1. Понятие электронной коммерции и классификация возможных типов мошенничества в ней.
- •12.2. Протокол ssl.
- •12.3. Протокол sel.
- •12.4. Сравнительные характеристики протоколов ssl и set.
- •13.1. Пластиковые карты, виды мошенничества и способы зашиты.
- •14.1. Идеальная служба информационной безопасности (изучить самостоятельно, есть соответствующий файл в папке «для Дмитрия»)
12.2. Протокол ssl.
Протокол SSL (SecureSocketLayer) был разработан американской компанией NetscapeCommunications. SSL обеспечивает защиту данных между сервисными протоколами (такими как HTTP, NNTP, FTP и т.д.) и транспортными протоколами (TCP/IP) с помощью современной криптографии в соединениях "точка-точка".
Протокол SSL предназначен для решения традиционных задач обеспечения защиты информационного взаимодействия:
пользователь и сервер должны быть взаимно уверены, что они обмениваются информацией не с подставными абонентами, а именно с теми, которые нужны, не ограничиваясь паролевой защитой;
после установления соединения между сервером и клиентом весь информационный поток между ними должен быть защищен от несанкционированного доступа;
и наконец, при обмене информацией стороны должны быть уверены в отсутствии случайных или умышленных искажений при ее передаче.
Протокол SSL позволяет серверу и клиенту перед началом информационного взаимодействия аутентифицировать друг друга, согласовать алгоритм шифрования и сформировать общие криптографические ключи. С этой целью в протоколе используются двухключевые (ассиметричные) криптосистемы, в частности, RSA.
Протокол SSL включает два этапа взаимодействия сторон защищаемого соединения:
установление SSL-сессии;
защита потока данных.
На этапе установления SSL-сессии осуществляется аутентификация сервера и (опционально) клиента, стороны договариваются об используемых криптографических алгоритмах и формируют общий "секрет", на основе которого создаются общие сеансовые ключи для последующей защиты соединения. Этот этап называют также "процедурой рукопожатия".
На втором этапе (защита потока данных) информационные сообщения прикладного уровня нарезаются на блоки, для каждого блока вычисляется код аутентификации сообщений, затем данные шифруются и отправляются приемной стороне. Приемная сторона производит обратные действия: расшифрование, проверку кода аутентификации сообщения, сборку сообщений, передачу на прикладной уровень.
В SSL используется криптография с открытым (публичным) ключом, также известная как асимметричная криптография. Она использует два ключа: один - для шифрования, другой - для расшифровывания сообщения. Два ключа математически связаны таким образом, что данные, зашифрованные с использованием одного ключа, могут быть расшифрованы только с использованием другого, парного первому. Каждый пользователь имеет два ключа - открытый и секретный (приватный). Пользователь делает доступным открытый ключ любому корреспонденту сети. Пользователь и любой корреспондент, имеющий открытый ключ, могут быть уверены, что данные, зашифрованные с помощью открытого ключа, могут быть расшифрованы только с использованием секретного ключа.
Если два пользователя хотят быть уверенными, что информацию, которой они обмениваются, не получит третий, то каждый из них, должен передать одну компоненту ключевой пары (а именно открытый ключ), другому и хранит другую компоненту (секретный ключ). Сообщения шифруются с помощью открытого, расшифровываются только с использованием секретного ключа. Именно так сообщения могут быть переданы по открытой сети без опасения, что кто-либо сможет прочитать их.
Целостность и аутентификация сообщения обеспечиваются использованием электронной цифровой подписи.
Теперь встает вопрос о том, каким образом распространять свои публичные ключи. Для этого (и не только) была придумана специальная форма - сертификат. Сертификат состоит из следующих частей:
имя человека/организации, выпускающей сертификат;
субъект сертификата (для кого был выпущен данный сертификат);
публичный ключ субъекта;
некоторые временные параметры (срок действия сертификата и т.п.).
Сертификат "подписывается" приватным ключом человека (или организации), который выпускает сертификаты. Организации, которые производят подобные операции называются Certificateauthority (CA). Если в стандартном Web-браузере, который поддерживает SSL, зайти в раздел security, то там можно увидеть список известных организаций, которые "подписывают" сертификаты. Технически создать свою собственную CA достаточно просто, но также необходимо уладить юридическую сторону дела, и с этим могут возникнуть серьезные проблемы.
SSL на сегодня является наиболее распространенным протоколом, используемым при построении систем электронной коммерции. С его помощью осуществляется 99% всех транзакций. Широкое распространение SSL объясняется в первую очередь тем, что он является составной частью всех браузеров и Web-серверов. Другое достоинство SSL - простота протокола и высокая скорость реализации транзакции.
В то же время, SSL обладает рядом существенных недостатков:
покупатель не аутентифицируется;
продавец аутентифицируется только по URL;
цифровая подпись используется только при аутентификации в начале установления SSL-сессии. Для доказательства проведения транзакции при возникновении конфликтных ситуаций требуется либо хранить весь диалог покупателя и продавца, что дорого с точки зрения ресурсов памяти и на практике не используется, либо хранить бумажные копии, подтверждающие получение товара покупателем;
не обеспечивается конфиденциальность данных о реквизитах карты для продавца.