Основные понятия информационной безопасности

Лекция. Основные понятия информационной безопасности

1 Цели информационной безопасности

1.1 Основные цели информационной безопасности

• Конфиденциальность
• Целостность
• Работоспособность

1.2 Конфиденциальность

• Самый общий аспект информационной безопасности.
• Необходимо защитить нашу конфиденциальную информацию.
• В военных организациях важно сохранение секретности важной информации.
• В промышленности важно сохранение информации от конкурентов.
• Необходимо сохраняться секретность учётных записей клиентов.
• Необходима при хранении информации.
• Необходима при передаче информации.

1.3 Целостность

• Информация изменяется постоянно.
• Изменения должны быть сделаны только разрешёнными объектами и с помощью разрешённых механизмов.
• Нарушение целостности — не обязательно результат злонамеренного действия.

1.4 Работоспособность

• Информация должна быть доступна разрешённым объектам.
• Информация бесполезна, если она не доступна.

2 Виды атак на информацию

2.1 Атаки, угрожающие конфиденциальности

2.1.1 Вмешательство

• Неправомочный доступ или перехват данных.
• Для предотвращения вмешательства данные должны быть представлены так, что перехвативший не сможет понять их.
• Использование шифрования для предотвращения вмешательства.

2.1.2 Наблюдение за трафиком и его анализ

• Анализируя сетевой трафик, можно получить дополнительную информацию.
• Часть информации открыта.
• Статистические данные, связанные с перехватываемой информацией.

2.2 Атаки, угрожающие целостности

2.2.1 Модификация

• После прерывания или доступа к информации атакующий изменяет информацию.

2.2.2 Имитация источника (spoofing)

• Имитация кого-то, кто имеет право на производимые действия.
• Имитация приёмника.

2.2.3 Повторная передача информации (атака воспроизведения)

• Атакующий получает копию сообщения и передает эту копию с целью дезорганизации процесса или попытки повторить его.

2.2.4 Отказ от сообщения

• Передатчик сообщения может отрицать факт передачи.
• Приёмник сообщения может отрицать, что он получил сообщение.

2.3 Атаки, угрожающие работоспособности

2.3.1 Отказ в обслуживании (Denial of Service — DoS)

• Атака на сервер.
  • Перегрузка сервера фиктивными запросами.
  • Прерывание запросов клиента. Клиент увеличивает количество запросов.
• Атака на клиент.
  • Удаление ответа сервера. Клиент считает, что сервер не отвечает.
  • Прерывание запросов клиента. Клиент считает, что сервер не отвечает.

2.4 Типы атак

2.4.1 Пассивные атаки

• Цель атакующего состоит в том, чтобы только получить информацию.

2.4.2 Активные атаки

• Изменяют данные или повреждают систему.

2.5 Классификация атак

3 Услуги информационной безопасности

3.1 Услуги информационной безопасности ITU-T

ITU-T (X.800) определил пять услуг, связанных с целями информационной безопасности.

• Конфиденциальность данных
• Целостность данных
• Установление подлинности (аутентификация)
• Исключение отказа от сообщений
• Управление доступом

3.2 Конфиденциальность данных

• Защита данные от попытки их раскрытия.
• Охватывает:
  • конфиденциальность целого сообщения;
  • конфиденциальность части сообщения;
  • защищает от наблюдения за трафиком и анализа трафика.

3.3 Целостность данных

• Защита данных от
  • модификации,
  • вставки,
  • удаления,
  • повторной передачи.
• Может защищать целое сообщение или часть сообщения.

3.4 Установление подлинности (аутентификация)

• Установление подлинности (аутентификацию) оператора на другом конце линии.
• Установление подлинности передатчика или приёмника в течение установления соединения (установление подлинности объектов равного уровня).
• Установление подлинности источника данных (установление подлинности происхождения данных).

3.5 Исключение отказа от сообщений

• Защищает от отказа от сообщения передатчиком или приёмником данных.
• Приёмник может доказать происхождение сообщения, используя идентификатор передатчика.
• Передатчик для доказательства использует подтверждение доставки.

3.6 Управление доступом

• Защита против неправомочного доступа к данным.
• Доступ включает в себя:
  • чтение,
  • запись,
  • изменение данных,
  • запуск на выполнение,
  • и др.

4 Механизмы информационной безопасности

4.1 Механизмы безопасности

• Шифрование
• Целостность данных
• Цифровая подпись
• Обмен сообщениями для опознавания
• Заполнение трафика
• Управление маршрутизацией
• Доверенность
• Управление доступом

4.2 Шифрование

• Гарантирует конфиденциальность.
• Два метода: криптография и стеганография.

4.3 Целостность данных

• Добавка в конце данных короткий контрольный признак (check value).
• Контрольный признак создаётся отдельно от данных.
• Приёмник получает данные и контрольный признак:
  • создаёт новый контрольный признак;
  • сравнивает только что созданный контрольный признак с полученным;
  • если эти два контрольных признака совпадают, целостность данных была сохранена.

4.4 Цифровая подпись

• Отправитель может подписать данные.
• Приёмник может проверить подпись.

4.5 Обмен сообщениями для опознавания

• Два объекта обмениваются некоторыми сообщениями, чтобы доказать, что эти объекты известны друг другу.

4.6 Заполнение трафика

• Возможность вставлять в трафик данных некоторые фиктивные данные, чтобы сорвать попытки злоумышленников использовать его для анализа.

4.7 Управление маршрутизацией

• Выбор и непрерывное изменение различных доступных маршрутов между отправителем и приёмником для того, чтобы препятствовать противнику в перехвате информации на определённом маршруте.

4.8 Доверенность

• Выбор третьей стороны с целью доверить ей контроль обменом между двумя объектами.

4.9 Управление доступом

• Доказывает, что пользователь имеет право доступа к данным:
  • пароль,
  • PIN-код,
  • и др.

4.10 Соотношение между услугами и механизмами

5 Методы информационной безопасности

5.1 Шифрование

5.1.1 Два метода шифрования для реализации механизма безопасности:

• Криптография
• Стеганография

5.2 Криптография

5.2.1 Значение термина

• Криптография (от греч. κρυπτός «скрытый» + γράφω «пишу»).

5.2.2 Механизмы криптографии

• Совокупность трёх механизмов:
  • шифрование симметричными ключами,
  • шифрование асимметричными ключами,
  • хеширование.

5.2.3 Шифрование симметричными ключами

• Шифрование c секретным ключом (криптография с секретным ключом).
• Применяется единственный ключ засекречивания и для шифрования, и для расшифровки.

5.2.4 Шифрование асимметричными ключами

• Шифрование асимметричными ключами (шифрование с открытыми ключами, криптография с открытыми ключами).
• Два ключа вместо одного:
  • открытый ключ (public key),
  • индивидуальный или секретный (private key).

5.2.5 Хеширование

• Из сообщения переменной длины может быть создан дайджест фиксированной длины (обычно намного меньшего размера, чем исходное сообщение).

5.3 Стеганография

5.3.1 Значение термина

• Стеганография (от греч. στεγανός «скрытый» + γράφω «пишу»; букв. «тайнопись»).

5.3.2 Криптография vs. стеганография

• Криптография защищает содержание сообщения.
• Стеганография защищает сам факт наличия каких-либо скрытых посланий.

6 Резюме

• Для информационной безопасности были определены три главные цели:

  • конфиденциальность,
  • целостность,
  • работоспособность.

• Конфиденциальности информации угрожают два типа атак:

  • вмешательство,
  • анализ трафика.

• Целостности информации угрожают четыре типа атак:

  • модификация,
  • имитация источника,
  • повторная передача информации,
  • отказ от сообщения.

• Работоспособности информации угрожает атака:

  • прекращение обслуживания запроса.

• ITU-T определил несколько услуг информационной безопасности:
  • конфиденциальность данных,
  • целостность данных,
  • установление подлинности,
  • исключение отказа от сообщений,
  • управление доступом.

• ITU-T рекомендует механизмы обеспечения безопасности:
  • шифрование,
  • целостность данных,
  • цифровая подпись,
  • установление правомочности изменений,
  • заполнение трафика,
  • управление маршрутизацией,
  • доверенность,
  • управление доступом.

• Два метода защиты информации:
  • криптография,
  • стеганография.

7 Контрольные вопросы

7.1 Контрольные вопросы

1. Определите три цели безопасности.
2. Укажите различие между пассивными и активными атаками на секретную информацию.
3. Назовите некоторые пассивные атаки.
4. Назовите некоторые активные атаки.
5. Перечислите и определите пять служб безопасности.
6. Перечислите и определите восемь механизмов безопасности.
7. Укажите различие между шифрованием и стеганографией.

8 Видео к лекции

8.1 Цели информационной безопасности

8.2 Услуги и механизмы информационной безопасности