Лекция 8. Основы защиты информации и сведений, составляющих государственную тайну; методы защиты информации.

Вряд ли стоит напоминать, что компьютеры стали настоящими помощниками человека и без них не может обойтись уже ни коммерческая организация, ни госучреждение. Однако, как это часто бывает, компьютер оказался палкой о двух концах. Предназначенный по сути своей для переработки такой нематериальной субстанции, как информация, он может принести весьма ощутимые материальные прибыли или же наоборот, не менее вещественные потери. С появлением ЭВМ обострилась проблема защиты информации. Причем важно, от чего ее защищать – от банальной потери в результате сбоев носителя или же не менее банального воровства самого компьютера вкупе с информацией для перепродажи компьютера на запчасти, либо защиты от воровства с целью перепродажи самой информации, что грозит гораздо большими неприятностями.

Если ввести некоторую условную классификацию возможных причин потерь, то можно выделить два ствола на обширном дереве электронных неприятностей: 1-потери по причине отказов и сбоев "железной части" ЭВМ и сбоев программного обеспечения и 2-потери в результате сбоев "человеческого фактора". Тот есть, говоря иначе, обобщим – потери с участием человека и без его ведома.

Рассмотрим некоторые чаще всего встречающиеся "железные" бяки. Тот, кто хотя бы раз переписывал информацию с ПК на ПК с помощью дискет, знает, что доверить им "свою жизнь" или "пойти с ними в разведку" согласится разве что умалишенный. Тогда, выделим этот весьма острый сучок в пункт № 1 – потери информации в результате сбоев носителя. Туда же можно отнести неприятности из-за отказов винчестера, нежелания читаться компакт-дисков, магнитных лент стримера, дискет ZIP – устройств и других систем хранения данных.

Второй "привет" обычно прилетает от наших доблестных электриков в виде светомузыки с освещением. Когда в результате скачков напряжения труды последних нескольких часов улетают в трубу, даже священники высказывают такие слова, что могут посрамить любых сапожников, долго и упорно тренировавшихся на этой стезе. Итак, выделяем второй сучок – потери информации в результате сбоев питающего напряжения. Неважно, на каком промежуточном звене этот сбой произошел: плохо подсоединен кабель питания ПК, кабель питания винчестера или мат. платы, или барахлит соединение в розетке, или плохо сидит в гнезде модуль ОЗУ, или сосед, который подсоединен к тому же сетевому фильтру автоматически отключает его вместе с вами, или же в линию питания "шарахнуло" молнией - результат будет один, и он печальный…Во избежание этого совет – позаботьтесь об источнике бесперебойного питания и обязательно о сетевом фильтре.

Следующий колючий предмет для воздушного шарика нашей безалаберности – это утраты данных из-за сбоев собственно "железа". То есть прямые отказы компонентов ПК. Причин может быть множество и каждый раз они специфичны, поэтому выделять какие-либо отдельно нет смысла. Для избежания таких потерь можно дать только один совет, который давно проповедуют американцы – "мы не настолько богаты, чтобы покупать дешевые вещи". Смысл этой можно перевести русской пословицей – "скупой платит дважды". Если вы не хотите терять данные из-за "кривого железа" приобретайте только качественный товар, и не скупитесь на специалиста, который вам поможет собрать и настроить ваш ПК. Таким образом, третья причина потерь данных без участия человека – потери информации из-за отказов оборудования.

Далее идут потери по причине уже "мягкой" составляющей компьютера, то есть о его программах. Не секрет, что большая часть программного обеспечения в нашей стране честно куплена на рынке или же не менее честно приобретена в пункте проката. Действительно, какой же русский будет платить 95$ самому богатому человеку планеты дядюшке Биллу Гейтсу за его Windows 95, ту самую, которая Must Die (должна умереть), если её можно приобрести в прокате за десяток рублей! Или заплатить не одну сотню "баксов" за Microsoft Outlook (который "оут-глюк"), если его можно найти на том же компакт-диске за 6 рублей, где и была операционная система.

Во многих наших ВУЗах машиностроители изучают системы САПР, к примеру AutoCAD. А он между прочим, стоит 7000$ за одну копию, и если посчитать стоимость оборудования им одного компьютерного класса (12 машин), думается, сразу будет сделан вывод – откуда же он взят. Конечно, те кто эти самые программы пишет тоже не сидят сложа руки, гладя как бессовестно "тырят" их труды. Пишутся даже грозные законы, которые гарантируют неприятности пиратам и каждая программа при установке обычно выдает жалостливые просьбы соблюдать авторские права. Однако кому это мешает, тем более если программа просит на английском языке, в котором среднестатистический русский знает лишь несколько ругательств, знакомых ему по фильмам. Если верит правоохранительным органам, доходы от нелицензионного распространения программного обеспечения в несколько раз превышают доходы самих "написателей" программ. Программы пишутся, защищаются всякими системами защиты и …успешно взламываются, поскольку для создания серьезной системы защиты нужен не один год труда.

Естественно, при взломе программы никто не гарантирует, что в ней не остались маленькие глюки, которые потом подкинут вам свинью в виде невозможности сохранить свой труд или вообще, до полного форматирования жесткого диска с невозможностью его восстановления. Если даже вы и приобрели все до единой программы честным путем (во что знаете ли, мало верится), то никто не гарантирует, что они будут мирно уживаться на одном компьютере, а не устроят битву за выживание с постоянными крахами системы. Таким образом выделим следующий источник потерь данных – потери из-за ошибок и сбоев программного обеспечения. Совет тут можно дать только один – нужно знать, ЧТО вы устанавливаете и ЗАЧЕМ устанавливаете. То есть предполагается, что вы понимаете смысл и назначение программ на вашем ПК, а не превращаете его в информационную помойку, на которой "гниет" никому не нужный программный мусор.

Осталась еще одна причина потерь данных, которая встречается довольно редко. Но, тем не менее, если вы стали счастливчиком "один из миллиона", которому эта причина встретилась (вряд ли вы обрадуетесь выпавшему вам шансу) – потери из-за физического уничтожения информации. Туда можно отнести звон разбитых надежд вместе со звоном упавшего на пол системного блока, чада короткого замыкания, которое вы устроили, пытаясь вставить новую видео-карту в материнскую плату, пробой микросхем статическим электричеством, которым щедро поделилась ваша синтетическая одежда, или же банальное воровство вашего ПК, либо же наводнение – ураган – пожар – потоп –смерч - вооруженный налет – прямое попадание метеорита, от которых никто не застрахован.

Далее рассмотрим потери, в которых тесное участие принимает человек, как непосредственно, так и из далёкого далёко. Речь пойдем о самых насущных проблемах современности, а именно о компьютерных вирусах и об электронном вредительстве в электронных же сетях.

Рассмотрим вначале вирусы, что это такое и с чем их "едят". Точнее было бы сказать – что они "едят". Свое название они получили за поразительное сходство со своими природными аналогами, то есть живыми вирусами. По аналогии же выделяют фазу внедрения, инкубационный период и фазу размножения.

Компьютерный вирус – это программа, обычно очень небольшого размера, написанная с целью: навредить; напугать; насмешить; предупредить; получить материальную выгоду. Обязательным свойством вируса является способность к размножению. Причем вред может быть различным, от полного уничтожения данных в ЭВМ до простого размножения, вред которого лишь в трате места на вашем жестком диске и пожирании ресурсов ПК. Большее количество вирусов несет в себе те или иные деструктивные задатки, исходя из чего, можно сделать вывод об их авторах – морально неустойчивые личности с комплексом саморазрушения и скрытым комплексом неуверенности в себе. Вообще, цели авторов создания вирусов различны от желания навредить исподтишка до желания самовыражения. Вирусы первых и являются самыми вредоносными, поскольку обозленные на весь мир их создатели вкладывают свою злость в свои детища. Вирусы же вторых обычно являются самыми мудреными и создаются лишь с целью показать себя и бросить вызов писателям антивирусных программ, что-то вроде "попробуй поймай". Ко второй категории обычно относятся программисты высшей квалификации, тогда как написать простенький вирус способен любой школьник, умеющий программировать.

С целью напугать вирусы пишутся обычно в случае, когда автора вируса как-то обижают, либо незаслуженно, по его мнению, не замечают. Тогда создается вирус, нагнетается атмосфера страха, особенно если начальство и коллеги не очень соображают в компьютерах и единственным спасителем предстает наш герой. Известны реальные случаи, когда программисты, которым грозило увольнение ,самым настоящим образом ставили условия работодателю: "уволишь – вирус всех вас с землей сравняет", и начальство выполняло требования служащего.

С целью насмешить вирусы пишутся от "нечего делать". Такие программы обычно проявляют себя всяческим аудиовизуальными эффектами. То музыка заиграет, то изображение на экране вниз головой перевернется, то следы через весь ваш труд пробегут, то буквы осыплются вниз, то всякие непотребные надписи выскакивают. Вирусы этой категории в принципе не вредят, поскольку написаны с целью позабавить, но ошибки в них могут вызвать некоторые неприятности. А так как вирусы, как уже говорилось, размножаются, то могут "отнять" ресурсы системы у полезных программ, приводя к нарушению нормальной работы.

Предупреждающие функции вирус выполняет одним своим появлением на вашем ПК. Его наличие означает, что в вашей системе защиты появилась брешь и ее срочно нужно залатать, либо вызвав специалиста, либо обновив антивирусное ПО, либо выловив и уничтожив все зараженные объекты.

Вирусы, имеющие своей целью материальную выгоду, встречаются лишь там, где встречаются электронные аналоги денег – в банках и других финансовых организациях, а также в системах электронных платежей через компьютерные сети. Типичный пример банковского вируса выглядит так. Банк. Крупный банк, с большим количеством клиентов и большим количеством услуг. Поскольку при начислении процентов образуются доли денежных единиц, к примеру долей копеек, банк поступает следующим образом – доли меньше 0,5 копейки округляются в меньшую сторону (до нуля), больше 0,5 – в большую сторону (до единицы). Суммировав такие доли "+0,5" и "-0,5" по всем клиентам, в банке выходит примерно правильный баланс. Программист, недолго думая, пишет программу, которая доли копеек вместо округления переводит их на один из своих счетов в этом банке. Суммарный баланс банка при этом не нарушается, а поскольку клиентов в банке много и операций выполняется также немало, сумма на счету набегает весьма приличная, и при этом никаких "грязных делишек". Одним словом, "ловкость рук и никакого мошенства". Обычно такие махинации выявляются лишь случайно, поэтому доступ к конфиденциальной информации в таких учреждениях строго разграничен, то есть "меньше знаешь – лучше спишь". Другой вид финансового электронного мошенничества – это подделка кредитных карт. Поскольку номера кредитной карточки не являются набором цифр, высосанных из пальца, а генерируются по специальному алгоритму, алгоритм можно украсть или же продать, если есть к нему доступ, и таким образом пользоваться услугами, которые оплатит кто-то другой. Дальше – больше. Представьте себе, что у вас есть доступ к WWW. На ваш почтовый ящик приходит предложение купить что-либо по очень низкой цене. Для этого требуется оплатить заказ кредиткой по определенному адресу. Наивный "чайник" вводит номер своей банковской карточки, пароль доступа и ждет чуда. Через некоторое время, переведенные вами деньги вам возвращаются с искренними извинениями, что фирма в силу таких-то и таких-то причин не может выполнить заказ и честно возвращает средства. При этом обещается, что при первой же возможности благородному пользователю будет выполнен заказ и еще будет предоставлена скидка, как 10 000 – му покупателю/заказчику. Польщенный таким отношением "чайник" трезвонит об этой услуге таким же "чайникам" – друзьям. Ни тому ни этому невдомек, что услуг не было и не будет, а все это есть способ выманить номер кредитной карты у жаждущих халявы, которая, как известно, является национальной русской идеей.

Таким образом, если ваш компьютер находится в сети, и вы работаете с электронными платежами, можно заполучить вирус, который "подсмотрит" номер вашего платежного средства и отошлет его по сети же "заинтересованным лицам".

Обобщая вышесказанное, выделим потери информации из-за наличия вирусных программ.

Следующий способ попортить вашу самоуверенность в защищенности ваших данных – это хищение их с помощью специальных электронных средств. Компьютер, как любое электронное устройство в работе выдает ЭМ - излучение, обработав которое с помощью особых средств и программ, можно узнать, чем же вы таким на своем ПК занимаетесь. Можно также умудриться узнать о ваших забавах даже через сеть электропитания, так как ваш ПК выдает импульсы в питающую линию. Впрочем, способы как "свистнуть" и как припрятать информацию от таких способов хищения относятся скорее к области радиоэлектронной борьбы и рассматриваются в соответствующих учреждениях и организациях.

Гораздо более прозаичный способ поведать о своих секретах всему миру – это компьютерные сети. Абсолютно защитить ваши маленькие тайны (точнее почти абсолютно) можно только или вообще отключившись от сети или установив четкую многоярусную систему обороны от проникновения извне. Причем надо иметь в виду, что данные могут утекать не только из-за происков врагов снаружи, но и из-за нечистых на руку своих же сотрудников. Таким образом, при сетевой защите приходится решать вопросы не только "перекрытия кислорода" чужеземцам, но и затыкать дырочки, откуда информация может вытечь наружу.

Первым шагом, который вы можете проделать на пути защиты данных – это разграничение доступа к информации, носящей конфиденциальный характер. Чем меньше народу имеет возможность видеть ваши секреты, тем меньше вероятность утечек и тем легче найти крота, который продает ваши тайны. Далее, среди тех кто имеет доступ к секретной информации, тоже должно быть разграничение по уровням доступа, то есть к самым большим секретам должны быть допущены только самые доверенные лица. В серьезных организациях вроде спецслужб открытость информации построена таким образом, что даже те, кто имеет доступ к самым важным секретам, не может составить полной картины данных, хранящихся в учреждении. Описанные пути – это работа с человеческим фактором, который является самым слабым звеном в любой крепости. Добиться достаточно хорошей защиты, можно даже не используя каких-либо специальных приемов, а лишь ограничив доступ к источникам секретной информации, вроде запрета входить в какие-либо кабинеты посторонним лицам.

Следующий доступный вам способ обороны – это установка парольной защиты на электронно-вычислительные средства. Тогда человек, случайно или намеренно попавший в секретный кабинет не сможет быстро получить доступ к вашим тайнам. При всей кажущейся простоте это решение не так однозначно, каким выглядит при первом взгляде. Если рассматривать простого рядового служащего, парольная защита для него – всего лишь еще один способ заработать головную боль. У паролей есть одно больное место – их нужно запоминать. И рассматривая среднестатистического пользователя, можно с уверенностью сказать, что в качестве пароля он выберет или свое имя, или имя своей жены/детей/друзей, или номер своего телефона, или дату своего рождения или же даты рождения своих знакомых и друзей. Внимательно изучив круг интересов такого пользователя, пароль можно просто подобрать! Если заковыристый пароль назначен администратором сверху и он неудобозапоминаем, то с 90%-й вероятностью можно сказать, что пользователь напишет его на клочке бумаги и приклеит его скотчем под крышкой стола. Еще одно, на что часто не обращают внимание – некоторые пользователи выбирают пароли, которые являются слабыми, то есть или они короткие (3-4 символа), или не годятся в качестве ключевого слова, поскольку не дают хорошего перемешивания.

Еще одним требованием при работе с паролями – они должны регулярно меняться, хотя бы раз в месяц. Это опять таки не вызывает восторгов у конечных пользователей.

Далее, вы можете поступить таким образом, чтобы даже заполучив информацию в свои руки, враг не мог ее использовать. Проще говоря, вы можете зашифровать ваши данные. У этого способа естественно много плюсов, также как и минусов. Шифрование данных конечно резко уменьшает риск попадания секретных сведений к злопыхателям, однако для шифрующей стороны это тоже еще одна головная боль. Во-первых, алгоритм шифрования должен быть устойчивым к подбору пароля и взлому, во-вторых, он должен быть быстрым и удобным, в-третьих, он должен отсеивать те пароли, которые дают неустойчивое к взлому шифрование. И нужно также заботится о том, чтобы его не "свистнули", ибо в противном случае его можно проанализировать с целью выявления слабых сторон и подбора пароля. С шифрованием данных появляется еще одна "бяка" – при утере пароля данные становятся абсолютно бесполезными, просто электронным мусором. Если потерянный пароль для входа в компьютер еще можно обойти, то в случае шифровки проблем гораздо больше.

Необходимо иметь в виду, что "неломаемых" паролей не существует. Даже если математическое описание алгоритма шифрования безупречно, то надо еще его правильно реализовать на компьютере, что порой бывает весьма проблематично. Нередко хороший метод шифрования бездарно внедряется в ПО, служа тем самым антирекламой в общем то хорошего способа. При отсутствии слабых мест в алгоритме пароль можно попробовать подобрать методом перебора. Если при этом известно, какие символы используются в пароле, то задача сильно облегчается. Например, если известно, что пароль состоит из 10-ти цифр, то для вскрытия пароля достаточно перебрать 10 млрд. вариантов, что с нынешним быстродействием ЭВМ вряд ли составит проблему. В принципе, любой пароль можно подобрать методом перебора с использованием словаря, так как обычные люди вряд ли будут использовать пароли вроде "#Df;~вЛъ@+fd}Кар1Ka2dEN@!". Обычные люди используют обычные слова в качестве паролей, так что если взять любой толковый словарь русского языка, в котором около 20 тыс. слов, то ваше секретное слово можно подобрать, как это не печально.

При работе с паролями в сети нужно также иметь в уме то, что вопросы вирусной заразы здесь также весьма актуальны. Некоторые методы проникновения "заразы" в ваши ПК и способы утечек секретов приведены ниже.

1. Наличие программ-закладок, которые, никак не вмешиваясь в работу ЭВМ, тем не менее "подглядывают" за вашими тайнами. Программы-закладки могут: только записывать ваши действия и ждать доступа к себе через сеть; могут "подправлять" ваши записи, изменяя их таким образом, как это выгодно злоумышленнику; могут активно изменять данные в вашем ПК с целью искажения информации и внесения хаоса и неразберихи. К примеру, в крупных зарубежных банках процедура выдачи банковского кредита автоматизирована, то есть выдать или отказать в выдаче кредита – это решает компьютер, на основе анализа данных о вашем предприятии. И если немного "подправить" его решения, внедрившись в систему, можно получить немалые материальные выгоды. При этом одна закладка, внедрившись в систему, может способствовать внедрению других.

2. Наличие программ-имитаторов, выдающих себя за легальных представителей ПО. Например, запуская базу данных, требующую авторизации, вы вводите пароль и в ответ получаете сообщение, что пароль не верен. Думая, что ошиблись при наборе, вы вводите пароль повторно. Все "Ок" и можно работать далее. Однако вы даже не подозреваете, что первый раз пароль запрашивала не программа СУБД, а программа-имитатор, которой вы собственноручно указали ваш пароль доступа.

3. Еще одним местом утечки данных является корзина, как обычная для бумаг, так и ее аналог в компьютере. Не секрет, что в современных ОС данных вначале отправляются в корзину и лишь потом уходят в электронное небытие. Кроме того, если пространство файла не использовалось для последующей записи, данные в нем лежат невредимыми, и их можно восстановить с помощью распространенных программ. Кроме того, при записи отредактированного файла меньшего размера, в конце файла остаются хвостовые кластеры, в которых информация лежит нетронутой. Такие хвостовые кластеры не подчищаются даже программами гарантированного стирания информации. По оценкам специалистов ФАПСИ, из таких хвостов кластеров через сутки можно извлечь до 85%, а через десять суток – до 25-40% исходных данных. Подкинув в ваш ПК вирус, который будет необходимые данные копировать в определенное место, а затем помечать это место как сбойные кластеры, злоумышленник может иметь достаточно полный доступ к конфиденциальным сведениям.

Таким образом, для избежания потерь данных можно лишь порекомендовать лозунг времен холодной войны – "будь бдительным"