Евгений Кутя - Информационная безопасность

ITDays.1.0
Днепропетровск, март 2010

 Безопасность информации– защищенность
данных, программ, сообщений, протоколов,
устройств и среды от нарушения
конфиденциальности, целостности, доступности и
наблюдаемости информации. (Официальное
определение в Украине)
 Безопасность информации — состояние
защищённости информации обрабатываемой
средствами вычислительной техники от
внутренних и внешних угроз.

Защита информации
Скорость, деньги, неудобства

 Техническая защита информации

 Программная защита

Слайд 1

 Фильтры защиты от наводок, сетевые
фильтры, частотные фильтры
 Экранированные корпуса
 Закрытое помещение (нет возможности для
визуально-оптической разведки)
 Система видеонаблюдения
 Служба охраны

Слайд 2

 Система допуска в здание с помощью
устройств биометрического контроля
 Отпечатки пальцев
 Радужная оболочка глаза
 Образ ладони
 Образ лица
 Оттенок цвета кожи
 Голосовая идентификация

Слайд 3

 Система допуска в здание/ к рабочему
месту с помощью смарт-карт либо
электронных цифровых ключей с
бесконтактным/ контактным считыванием.

 Пароль на BIOS. Стоит ли?

 Защита входа в ОС паролем.

▪ Работа с разными пользователями
▪ Возможность родительского контроля
▪ Не обольщайтесь. Слабая эффективность.

 Что я хочу защитить?
 Целостность чего является крайне важной
для меня?
 Файлы для работы
 Информация о себе
 Контакты, адреса
 Фотографии

 Производить вход и работу с ОС в качестве
пользователя, не администратора (ХР)
 Отключить автозапуск с USB-устройств при их
определении
 Выбор хорошего антивируса
 Хранение критичных для вас файлов
заархивированными с паролем
 Установка паролей на личные файлы
MS Office.
 Создание зашифрованных локальных разделов
жесткого диска с помощью специальных
программ

 Ограниченность по алфавиту
 Решение – не использовать подряд идущие,
повторяющиеся символы
 Использование разных раскладок клавиатур
для одного и того же пароля
 Использование знаков
!@#%^&*()-+{}[]|/.<>~ (если позволяет алфавит)
 Использование разных регистров -> aLrjSnpx
 Использование чисел и букв -> Pof8J2a9

 Включить фантазию и придумывать что-то
одновременно простое и сложное.
 “This little piggy went to market”
 (Этот маленький поросенок пошел на базар)
"tlpWENT2m"
 Проверка придуманного пароля на его
стойкость к взлому
 Программные
 Онлайн

 Проверка придуманного пароля на его
стойкость к взлому
 Онлайн
 Использование генераторов паролей
 Онлайн

Генерация,
хранение паролей

 Бесплатный
 Честность относительно авторского права
 Стабильность работы
 Не требует переустановки ключей/лицензии
 Платный
 Денежные вложения ( ежегодно)
 Лучший сервис
 Работает на одной рабочей станции

 Бесплатный антивирус может
обеспечить достойный уровень
безопасности
 Нужно понимать, что один продукт
какой-то компании не может
обеспечить многогранную защиту
 Оптимальное сочетание:
 один антивирус с включенным
резидентным монитором (Не BitDefender)
 брандмауэр
 антишпион

 Для обеспечения безопасности удалять сookies после
каждого сеанса работы с браузером.

 Настроить политику безопасности своего
почтовый ящик
 Использовать специальные программы (The Bat!)

 Просто Договориться с адресатом об использовании
определенного софта для шифрования текста и простого
копирования его в окно отправки сообщения (неудобно,
зато наиболее надежно)

• Secure Sockets Layer — уровень защищённых
сокетов.
• криптографический протокол, который обеспечивает
установление безопасного соединения между
клиентом и сервером.
• Шаг к защищенному
хостингу- покупка
SSL-сертификата.
• Слабая криптографическая
стойкость протокола.

 Mail.ru Agent
 ICQ
 Skype
 Twitter
 Messenger

 Самым защищенным является

 Самым не защищенным является

 Защита «по-взрослому»
 Шифрование отдельных файлов
 Шифрование папок (Folder_Crypt_v3.2)
 Отличия кодирования и шифрования
 PGP, актуален ли?

 Ассиметрические криптоалгоритмы (RSA, EC)
 Симметрические криптоалгоритмы (AES,
SNOW-2, ДСТУ 28147-2009)
 Электронные цифровые подписи (DSA, EC-DSA,
RSA, EC-GDSA, EC-KCDSA, EC-NR)
 Хеш-функции (ripemid 160 , sha-1, sha-3)

 Защищенные разделы

 Электронная цифровая подпись – это вид
электронной подписи, полученной в результате
криптографического преобразования набора
электронных данных, который присоединяется к
этому набору и дает возможность подтвердить
ее целостность и идентифицировать
подписующего.

 Идентична обычной подписи человека
 Имеет юридическую силу (если сертификат
был сформирован в АЦСК)
 Ускоряет производственный процесс
 Упрощает систему заключения договоров
между компаниями
 Возможность отчетности Налоговой
Инспекции подписанной вашим личным
(секретным) ключом
 С помощью ЭЦП сегодня работает
электронный документооборот в Украине

Сервери ІВК

Сервер відновлення Сервер Сервер каталогів
ключів сертифікатів

ІВК сумінісні застосування

…
Захищена електрона Віртуальна приватна
Віддалений доступ пошта мережа WEB сервер

Користувачі

 При шифровании файла используется открытый
ключ получателя. Что обеспечивает то, что
именно он получит файл и свои секретным
ключом его откроет.
 При подписи файла используется секретный
ключ подписующего. Подпись можно проверить.
Как? Получить его сертификат открытого ключа
и проверить файл.

 Шифрование исполняемого кода
 Гарантия невозможности Реверс Инжиниринга

 Защита цифровой подписью
 Защита от подделки

 Сегодня во всем мире используются стандарты:
 А5/1 - наиболее стойкий алгоритм, применяемый в
большинстве стран;
 А5/2 - менее стойкий алгоритм, внедряемый в
странах, в которых использование сильной
криптографии нежелательно;
 А5/0 - отсутствует шифрование
 A5/3 - модернизированная версия алгоритма A5/1,
разработанная после компрометации старых версий
(разрабатывалась с использованием алгоритма
KASUMI).

 А5/1 используется уже 22 года
 Ключом является сессионный ключ длиной 64 бита, номер
кадра считается известным. Таким образом, сложность атаки
основанной на прямом переборе равна 264.
 В 1999 году Вагнеру и Голдбергу без труда удалось
продемонстрировать атаку с помощью нулевых кадров.
Сложность этой атаки равна 217, таким образом, на
современном компьютере вскрытие шифра занимает
несколько секунд.
 2009 г –при помощи всего 40 компьютеров
немцем,Карстеном Нолем, и его помощниками был найден
ключ к дешифрованию защищенных GSM каналов.
Составлена огромная таблица, применяя которую, можно
подобрать ключ для получения доступа к содержанию
текстовых сообщений или телефонного разговора.

 Для реализации перехвата разговора потребуется пару
тысяч долларов, вложенные в компьютер, специальное
программное обеспечение и передатчики USRP2
 Если потратить на оборудование чуть больше – 30 тысяч
долларов – можно слушать такие разговоры в режиме
реального времени. То есть скорость расшифровки будет
невероятно велика
 Члены GSMA признались, что планируют поднять старый
алгоритм до нового стандарта A5/3, который уже
начинает вводиться в действие
 Проблема в том, что A5/3 уже теоретически сломан Ади
Шамиром – одним из создателей RSA и его друзьями.

 Нужно думать что говорить, а что не
говорить по телефону.
 Вынимать батарею при важных встречах
 Использовать специализированные
телефоны
 Существуют специальные контейнеры,
которые позволяют слышать вызов, но при
этом не быть прослушанным.

«Это сообщение внутри картинки
Скрытие данных в пространственной
области изображений»

 Проникновение стеганографии в
социальные сети
 Что хранить, а что не хранить в
социальных сетях
 Мои фотографии могут стать контейнером
даже для передачи информации о теракте
 Помимо этого помните, что вся
информация которую вы вносите в соц.
сети при ее изменении не уничтожается, а
перезаписывается в архивы.

Рецепт:

 Получать информацию данную нам Богом
через святое писание и молитву.
 Эта информация не заражена вирусами, не
может быть взломана хакерами.
 Лучший протокол безопастности – личные
отношения с Богом

 Предложение – к официальным интернет
изданиям добавлять цифровую подпись
либо на базе международной защиты –
цифровой водяной знак.

 Честность относительно официального
программного обеспечения.
 Защита не должна быть паранойей!!!
Повторюсь!!!

 WPA и WPA2 закрывают большинство
проблем, которые есть у WEP, но они всё
же остаются уязвимыми, особенно в
варианте PSK.
 Взлом WPA и WPA2 с паролем более
сложен и требует больших затрат,
особенно при использовании шифрования
AES, но всё же возможен.

Версія

Серійний номер

Ідентифікатор алгоритму підпису

Версія V1
Ім'я емітента

Версія V2

Версія V3
Період дії (не раніше/не пізніше)

Ім'я суб'єкта

Інформація щодо відкритого ключа суб’єкта

Унікальний ідентифікатор емітента

Унікальний ідентифікатор суб’єкта

Розширення

Підпис Всі версії

71

ОЧІКУВАНІ РЕЗУЛЬТАТИ

www.ivk.org.ua
ВІД ВПРОВАДЖЕННЯ ЕЛЕКТРОННОГО
ДОКУМЕНТООБІГУ З ЕЦП
► Створення принципово нових можливостей для забезпечення
відкритості та гласності систем та установ за рахунок доступу до
відкритих інформаційних ресурсів

► Підвищення продуктивності роботи персоналу на 20-25%, зменшення
на 30% часу на пошук та узгодження документів
Довідково: близько 6% документів на паперових носіях незворотно загублюється, кожен
внутрішній документ копіюється до 20 раз;

► Спрощення та суттєве прискорення процедур обслуговування клієнтів

► Зменшення витрат на 80% на архівне зберігання документів

► Формування довіри до системи за рахунок високого рівня захисту
інформації

14

www.ivk.org.ua
ЗАКОН УКРАЇНИ “Про електронний цифровий підпис”
№852-IV від 22.05.2003

ВИЗНАЧЕННЯ: Електронний цифровий підпис - це вид електронного підпису,
отриманого за результатом криптографічного перетворення набору електронних
даних, який додається до цього набору або логічно з ним поєднується і дає змогу
підтвердити його цілісність та ідентифікувати підписувача.

ПРИЗНАЧЕННЯ: Електронний цифровий підпис використовується фізичними та
юридичними особами – суб’єктами електронного документообігу для ідентифікації
підписувача та підтвердження цілісності даних в електронній формі.

ВИКОРИСТАННЯ: Електронний цифровий підпис накладається за допомогою
особистого ключа та перевіряється за допомогою відкритого ключа.

ВЛАСТИВОСТІ ЕЦП
• захист від несанкціонованого використання за допомогою особистого ключа
• підтвердження правильності за допомогою відкритого ключа
• відсутність фізичної можливості виділити або відтворити особистий ключ з
відкритого ключа
3

Евгений Кутя - Информационная безопасность

More Related Content

Евгений Кутя - Информационная безопасность