Модельвзаємодіївідкритихсистеміметодиїхзахисту

ОсновнимперспективнимнапрямомстворенняITі1Свизнанатехноло­гіявідкритихсистем,змістякоїполягаєвзабезпеченні:

- уніфікованогообмінуданимиміжрізнимикомп'ютерами;

- переносностіприкладнихпрограмміжрізнимиплатформами;

- мобільностікористувачів,тобтоможливостікористувачівпереходи­
тизодногокомп'ютеранаіншійнезалежновідйогоархітектури,
об'ємупам'яті,програм,щовикористовуються,безнеобхідностіпе­
ренавчанняперсоналу.

Відкритасистема-цесистема,щореалізовуєвідкритіспецифікації(стандарти)наінтерфейси,службиіформатиданих,достатнідлятого,щобзабезпечити:

- можливістьперенесення(мобільність)прикладнихсистем,розробле­
нихналежнимчином,ізмінімальнимизмінаминаширокийдіапазон
систем;

- спільнуроботу(інтероперабельність)зіншимиприкладнимисисте­
маминалокальнихівіддаленихплатформах;

- взаємодіязкористувачамивстилі,щозабезпечуєїмперехідвідсис­
темидосистеми(мобільністькористувачів).

Ключовиймоментуцьомувизначенні-використаннятермінувідкритаспецифікація,що,усвоючергу,визначаєтьсяякзагальнодоступнаспецифі­кація,якапідтримуєтьсявідкритим,гласнимпогоджувальнимпроцесом,спря­мованимнапостійнуадаптаціюновихтехнологій,івідповідаєстандартам.

Базовамодельвзаємодіївідкритихсистемміститьсімрівнів:фізичний,канальний,мережний,транспортний,сеансовий,прикладний.

7.Наприкладномурівні(ApplicationLayer)задопомогоюспеціальних■Цодатківкористувачстворюєдокумент-прикладзпаперовимдокументомЩ(листнапапері)-протоколX.400.

6.Нарівніпредставленняданих(Prsentation)фіксаціямісцязнаходженняанихОС,перетворенняїхформату(шифрування),забезпеченнявзаємодіїзна-,ступнимрівнем(листуконвертіінаньомумарка)-протоколX.409.

5.Насеансовомурівні(Session)підтримкадіалогуміжвіддаленими^процесами,взаємодіязлокальноюабоглобальною(VAN)мережею-(лист'опущеноупоштовускриньку),праванавихідв«ефір»-протоколX.225.

4.Натранспортномурівні(Transport)забезпеченнявзаємодіївіддалених
Процесів,тобтодокументперетворитьсяуформу,вякійналежитьпередавати

tданівмережі,-(листдоставленийнапоштамтіокремовідмісцевихлистів)-|протоколTCP/IP,ТРО.

5.Мережнийрівень(Network)-маршрутизаціяіуправлінняпотоками
'даних—(листукладенийвмішок)-протоколX.25.

2.Канальний,аборівеньданих(DateLink)необхідний,щобпромоде-

люватисигнали,якіциркулюютьнафізичномурівні,відповіднододаних,

одержанихзмережногорівня.Цеформуванняпакетівіфреймівданих,

управліннядоступомдосередовищапередачі-(мішкилистів,укладеніува-

І'гон)-протоколHDLC.

1.Фізичнийрівень(Phisical)відбуваєтьсяреальнапередачаданих(бітовіпротоколи),тобтоелементарніодиниціданих-(вагонпричепленийдолокомо­тива.Доставляєіншевідомствозаіншимпротоколом)-протоколPS232.

ВідновленнядокументаприпереходізнижньогонаверхнійрівеньПКклієнта.

Інтерфейс—правилаустановкивзаємодіїміждвомарівнями(1-2,2-3,іт.д.).

Протоколи-правила,щовизначаютьформатповідомленьміждвомаоднаковимирівнями[6,12,17,20].

Таблиця5.2.РозподілфункціїбезпекивмоделіISO/OS1[6,17]

"+"рівеньможенадатифункціюбезпеки;

"-"рівеньнепідходитьдлянаданняфункціїбезпеки.

Технологіязабезпеченнябезпекиінформаційнихсистемпройшлатрифазисвогорозвитку:

1) захистданих(пов'язаназкодуваннямданих),орієнтованийназапобі­
ганнянесанкціонованогодоступудоінформації;

2) захистсистеми(пов'язанаіззахистомсистемивідруйнуваньівне­
сеннязмін).Вокремихвипадкахсистемазахищаєтьсявіднесанкціонованого
використанняресурсів.Руйнуванняіспотворенняможутьспричинитизбої
технічнихіпрограмнихзасобів,перешкодивканалахзв'язку;

3) перевіркасистеми(призначенадлявиявленняспробнесанкціоновано­
говикористанняабоспотворенняданих).Передбачаєреєстраціюдійкорис­
тувачів,визначенняїхповноваженьівідповідностіїхвиконуванимдіям.На
основіперевіркисистемиможнабудувативисновкипронесанкціонований
доступ,можливіпорушенняцілісностіданихтаін.

Длязабезпеченнябезпекиінформаційнихсистемрозробляютьсярізнізаходи,якізнаходятьвідображеннявстандартахізаконодавчихактах.

ОднимзосновнихдокументівуційсферієСтандартпоорганізаціїзахи­сту(МККТТ)-Х.8ОО.Уньомурозрізняютьсятакіпоняття,якзагрозабез­пеці,службибезпеки,механізмибезпеки,задопомогоюякихописуєтьсятех­нологіязабезпеченнябезпекивмережахпередачіданих.

Так,загрозабезпеці-цедіяабоподія,якаможеспричинитируйнуван­ня,спотворенняабонесанкціонованийдоступдоресурсівмережі.Загрозирозподіляютьсяна:

- випадкові(наприклад,користувачввівнетойпароль,алевінспрацював);

- ненавмисні(випадкововидалилиінформацію);

- маютьнамір(активніпорушенняфункціонуваннясистемичерез
впливнаїїпрограмні,технічні,інформаційніресурси);

-пасивні(несанкціонованевикористанняресурсів).
Найважливішізагрозибезпеки:

1) відкриттяконфіденційноїінформації;

2) компрометаціяінформації;

3) несанкціонованевикористанняресурсів;

4) помилковевикористанняресурсів;

5) несанкціонованийобмінінформацією;

6) відмовавідінформації;

7) відмовавідобслуговування;

Поняття"службибезпеки"означаєспецифікаціюнаконцептуальному,рівнінапрямівнейтралізаціїзагрозбезпеці.Цінапрямиреалізуютьсямехані­змамибезпеки.Службибезпекипередбачаютьтактичнийістратегічнийрі­веньзахистуінформації.

Тактичнийрівеньпризначенийдлязахистуінформаціївіднесанкціо­нованоговикористанняпротягомдекількоххвилинабодоби.Наприклад,длянедопущенняпідслуховуванняроботипринтера,введенняпаролів.

Стратегічнийрівеньвикористовуєтьсявситуаціях,якщопередбача­ється,щовисококваліфіковані,технічнодобреоснащеніфахівцівитратятьнадешифруванняперехопленихповідомленьвіддекількохмісяцівдодекількохднів.Наприклад,змінапаролівсистемиNovellNetware,змінаалгоритмівшифруванняповідомлень.

ISOвизначаєнаступніслужбибезпеки:

1. Аутентифікація-підтвердженняабозапереченнятого,щовідправ­
никінформаціїсаметой,хтовказаний.

2. Забезпеченняцілісності—виявленняспотворень,вставок,повторів,
знищенихданих,можебутизвідновленнямданих.

3. Засекреченняданих.Цяслужбапризначенадляперетворенняінфор­
маціїувигляд,неприступнийдлябезпосередньоговикористання(забезпечує
різноманітніперетворенняданихдопередачіїхвканал).

4. Контрольдоступу.Призначенийдлязапобіганнянесанкціонованому
доступудоресурсівмережі.Можливо:повний(доресурсувцілому,незале­
жновідспособуйоговикористання);вибірковий(розповсюджуєтьсянаокре­
мівидидоступудоресурсів,наприклад,модифікаціюбазиданих).

5. Захиствідвідмовиспрямованийнанейтралізаціюзагрозивідмовивід
інформаціїзбокуїївідправникаабоодержувача.Буваєзпідтвердженням
джерелаіпідтвердженнямдоставки.Першийваріантзабезпечуєодержувача
інформаціїдоказами(увиглядіданих),яківиключаютьспробивідправника
заперечитифактпередачіінформаціїабоїїзміст.Другийваріантзабезпечує
відправникадоказами,якіусуваютьспробиодержувачазаперечитифактїї
отриманняабоїїзмісту.Збираєтьсястатистикапропроходженняповідом­
лень,щобматинагодупідтвердитипересилкуабоотриманняповідомлень.

Підмеханізмамибезпекирозуміютьконкретніметоди,якінейтралізу­ютьзагрозубезпеці.

Методизахистуінформаціїрозподіляютьсяна:

1) шифруванняданих;

2) цифровий(електронний)підпис;

I_

4) забезпеченняцілісностіданих;

5) підстановкиграфіка;

6) управліннямаршрутизацією;

7) арбітражабопояснення.

Дляслужбиаутентифікаціїможнавикористовуватиметоди1)-3);для[службизабезпеченняцілісності-4),частково6);дляслужбизасекречення-І.1)і5);дляслужбиконтролюдоступу—3);дляслужбизахистувідвідмов—І2)і7)[17,64].

1.Шифруванняданихвикористовуєтьсядлятого,щобперешкоджати|сприйняттюінформаціїстороннімособам.Шифруванняданихвхідногопо­відомленнябазуєтьсянаспеціальнихкриптографічнихалгоритмах.Вономожебутиабосиметричним(іззакритимключем),абоасиметричним(звід-Iкритимключем).Длясиметричногошифруваннявикористовуєтьсяодинсек-Iретнийключ(йогомаютьіджерело,іодержувач).Вінжевикористовуєтьсядлярозшифровклповідомлень.

Уразіасиметричногошифруваннявикористовуєтьсяодинключ(загаль-нодоступний),длядешифрування—інший(секретний).Можебутинавпаки.Знаннязагальнодоступногоключанедаєможливостівизначитисекретний.Дляшифруванняідешифруваннявикористовуютьсярізніалгоритминазво­ротнихфункціях.Одинзнайвідомішихметодівасиметричногошифрування-методRSA(запершимибуквамипрізвищавторів,якихзапропонувалофу­нкціюшифруванняв1978p.,-Ріверст,Шамір,Адлеман).

2.Електроннийпідпис-(спеціальнапослідовністьсимволів)ґрунту­єтьсянаRSA-шифруванні

Дляелектронногопідписунеобхіднідвідії:

1)створенняпідписуізанесенняйоговповідомлення(длястворенняпідписувикористовуєтьсяалгоритмRSA);

2)розпізнаванняодержувачем—спеціальнідискетидозволяютьзніматиелектроннийпідпис,знищувативжеприсланий,аленепотрібнийфайл.

Електроннийпідписможевикористовуватисядляреалізаціїслужбаутен-тифікаціїізахистувідвідмов.

3.Контрольдоступунайчастішездійснюєтьсязапаролем.Окрімпаро­ля,можебутиспеціальнатехнічнаприналежністьдляідентифікаціїкористу­вача(типумагнітнихкарт).Механізмпаролівдозволяєперевіритиповнова­женнянадоступдоресурсівмережі.

Аутентифікаціябуваєодносторонньоюівзаємною.Воназабезпечуєтьсямеханізмомшифрування,цифровимпідписом.

Аутентифікаціяпримушуєкористувачапідтверджуватисвоюістинність.

Можутьзастосуватисятакіметоди:

1. Вимогавідсуб'єктанадатиречовийдоказ,якийпідтверджуєособу.
Наприклад,магнітнакартка.

2. Вимога,щобсуб'єктсповістивдещо,відомелишейому.Скажітьпа­
роль,фразу,число.

3. Вимога,щобсуб'єктнадавдещо,властивелишейому,наприклад,го­
лос,відбиткипальців,малюноксітківкиока.

4. Механізмцілісностіреалізуєтьсячерезприєднаннядокожногопа­
кетаконтрольнихсум,нумераціїблоків.Длязабезпеченнявиявленняпідміни
блокиможутьпозначатисяміткамичасу.

5. Підстановкатрафіка,якщомеханізмзаповненнятекстувикористову­
єтьсядляслужбизасекреченняпотокуданих.Об'єктимережі(спеціальнеосна­
щення)генеруютьфіктивніблокиіпередаютьїхканалами(додатковийтрафік).

6. Управліннямаршрутизацієюповинневизначитимаршрутпередачі
повідомленнятак,щобвиключитивикористанняканалівтам,деможлива
крадіжкасекретноїінформації.

7. Арбітражабопоясненнявикористовуєтьсядлятого,щобкористувачі
одержувачінформаціїнемогливідмовитисявідфактупередачіповідомлення.
Дляцьоговсистемістворюєтьсяспеціальнаслужба,черезякупроходятьіре-

єструютьсявсіповідомлення.Звичайнореєстраціяповідомленьвиконуєтьсяав­томатично,аїханалізздійснюєокремийфахівець(арбітр).Подібнаслужбамо­жесприятивиявленнюджереланесанкціонованогодоступудосистеми.

Розробцістандартівзбезпекиприділяєтьсявеличезнаувагавбагатьохкраїнах.ВСШАєцентрнаціональноїбезпекиЕОММО.Вінвидаєспеціаль­ністандарти:

1."Оранжевакнига"-оцінказахищеностіавтономнихЕОМ.

2."Жовтакнига"-керівництвосередовищем,захиствідзовнішніх
впливів.

3. "Червонакнига"-оцінказахищеностікомп'ютернихмереж.

4. "Зеленакнига"-керівництводлярозробкиадміністративнихсис­
темінформаціїідокументівпризасекреченніінформаціївбазахданих.

ВУкраїніствореноДепартаменттехнічногозахистуінформаціїСБУ,якийрозробивряднормативнихдокументівщодозахистуінформації,зокре­ма:«КонцепціютехнічногозахистуінформаціївУкраїні»,«ПоложенняпротехнічнийзахистінформаціївУкраїні».

Основнимистандартамиусферібезпекителекомунікаційнихсистемє:

- перевіркаоригінальності(аутентифікація)-ISO8730,1SO/1ES9594,
ITUX.509;

- цілісність-ГОСТ28147,1SO8731;

- цифровийпідписISO7498,Р3410(Росія),DSS(США).

Існуютьтакожстандартиокремихфірмдлязахистурізноманітнихте­лекомунікаційнихсистем(табл.5.3):

- SKIP—стандартдлязахистукорпоративноїмережі;

- SET—стандартдляшифруванняплатіжнихопераційвІнтернет;

- IPSec—стандартназасобизабезпеченнябезпекивІнтернет
[6,17,64].

Таблиця5.3.ЗахистінформаціївInternet

• ⇐ Назад
• -1
• 0
• 1
• 2
• 3
• 4
• 5
• 6
• 7
• 8
• 91011
• 12
• 13
• 14
• Далее ⇒