Безопасность  информации

ITDays.1.0Днепропетровск, март 2010

Что такое безопасность информации?

Безопасность информации– защищенность данных, программ, сообщений, протоколов, устройств и среды от нарушения конфиденциальности, целостности, доступности и наблюдаемости информации. (Официальное определение в Украине)

Безопасность информации — состояние защищённости информации обрабатываемой средствами вычислительной техники от внутренних и внешних угроз.

Области применения защиты информации

Области применения защиты информации

Вечная дилемма:

Защита информации Скорость, деньги,

неудобства

Основные способы защиты информации

Техническая защита информации

Программная защита

Техническая защита информации

Фильтры защиты от наводок, сетевые фильтры, частотные фильтры

Экранированные корпуса Закрытое помещение (нет

возможности для визуально-оптической разведки)

Система видеонаблюдения Служба охраны

Слайд 1

Система допуска в здание с помощью устройств биометрического контроля Отпечатки пальцев Радужная оболочка глаза Образ ладони Образ лица Оттенок цвета кожи Голосовая идентификация

Техническая защита информацииСлайд 2

Техническая защита информации

Система допуска в здание/ к рабочему месту с помощью смарт-карт либо электронных цифровых ключей с бесконтактным/ контактным считыванием.

Слайд 3

Программная защита: начало

Первые средства защиты

Пароль на BIOS. Стоит ли?

Защита входа в ОС паролем.

▪ Работа с разными пользователями▪ Возможность родительского контроля▪ Не обольщайтесь. Слабая эффективность.

Необходимо сделать решение

Что я хочу защитить? Целостность чего является крайне

важной для меня? Файлы для работы Информация о себе Контакты, адреса Фотографии

Возможные методы защиты

Производить вход и работу с ОС в качестве пользователя, не администратора (ХР)

Отключить автозапуск с USB-устройств при их определении

Выбор хорошего антивируса Хранение критичных для вас файлов

заархивированными с паролем Установка паролей на личные файлы MS Office. Создание зашифрованных локальных

разделов жесткого диска с помощью специальных программ

Программная защита: кульминация

1. Выбор пароля Слайд 1

Ограниченность по алфавиту Решение – не использовать подряд

идущие, повторяющиеся символы Использование разных раскладок

клавиатур для одного и того же пароля

Использование знаков !@#%^&*()-+{}[]|\/.<>~ (если позволяет алфавит) Использование разных регистров ->

aLrjSnpx Использование чисел и букв ->

Pof8J2a9

1. Выбор пароля Слайд 2

Включить фантазию и придумывать что-то одновременно простое и сложное.

“This little piggy went to market” (Этот маленький поросенок пошел на

базар) "tlpWENT2m" Проверка придуманного пароля на

его стойкость к взлому Программные Онлайн

www.cryptool-online.org

1. Выбор пароля Слайд 3

Проверка придуманного пароля на его стойкость к взлому Программные Онлайн

Использование генераторов паролей Программные Онлайн

www.cryptool.org

Генерация, хранение паролей

http://keepass.info/

www.cryptool-online.org

Распространенность длин паролей в интернете

Самые популярные пароли в интернете

Выбор антивируса

Бесплатный Честность относительно авторского

права Стабильность работы Не требует переустановки

ключей/лицензии Платный

Денежные вложения ( ежегодно) Лучший сервис Работает на одной рабочей станции

Сравнениеантивирусов: общее

www.antimalw

are.

ru

Сравнение антивирусов: Эффективность различных программ защиты против новейших угроз

www.antimalware.ru

График пропущенных образцов вирусов (чем ниже, тем лучше антивирус). Протокол испытаний Август 2009 года.

www.antivirusafree.net

График ложных срабатываний при проверке безвредных файлов (чем ниже, тем лучше антивирус). Протокол испытаний Август 2009 года.

www.antivirusafree.net

График скорости сканирования (чем выше, тем лучше антивирус). Протокол испытаний Август 2009 года.

www.antivirusafree.net

Сравнение по скорости обновляемости антивирусных баз

Выводы по антивирусам: Бесплатный антивирус может

обеспечить достойный уровень безопасности

Нужно понимать, что один продукт какой-то компании не может обеспечить многогранную защиту

Оптимальное сочетание: один антивирус с включенным резидентным

монитором (Не BitDefender)

брандмауэр антишпион

Работа с браузерами: Cookies

Для обеспечения безопасности удалять сookies после каждого сеанса работы с браузером.

Как защитить свою почту? Настроить политику безопасности

своего почтовый ящик Использовать специальные программы

(The Bat!)

Просто Договориться с адресатом об использовании определенного софта для шифрования текста и простого копирования его в окно отправки сообщения (неудобно, зато наиболее надежно)

Настройки безопасности в mail.ru

Настройки безопасности в Gmail

Слабая защита Яндекса

Протокол SSL

• Secure Sockets Layer — уровень защищённых сокетов.• криптографический протокол, который

обеспечивает установление безопасного соединения между клиентом и сервером.

• Шаг к защищенному хостингу- покупка SSL-сертификата.• Слабая криптографическая стойкость протокола.

Клиенты обмена мгновенными сообщениями

Mail.ru Agent ICQ Skype Twitter Messenger

Какой из них наиболее защищен, а какой – наименее?

Самым защищенным является

Самым не защищенным является

Криптографическая защита

Защита «по-взрослому» Шифрование отдельных файлов Шифрование папок

(Folder_Crypt_v3.2) Отличия кодирования и

шифрования PGP, актуален ли?

Криптографическая защита

Ассиметрические криптоалгоритмы (RSA, EC)

Симметрические криптоалгоритмы (AES, SNOW-2, ДСТУ 28147-2009)

Электронные цифровые подписи (DSA, EC-DSA, RSA, EC-GDSA, EC-KCDSA, EC-NR)

Хеш-функции (ripemid 160 , sha-1, sha-3)

Криптографическая защита в целом Защищенные разделы

Для подписи больше не нужна ручка и бумага? ЭЦП…

Электронная цифровая подпись – это вид электронной подписи, полученной в результате криптографического преобразования набора электронных данных, который присоединяется к этому набору и дает возможность подтвердить ее целостность и идентифицировать подписующего.

Идентична обычной подписи человека Имеет юридическую силу (если

сертификат был сформирован в АЦСК) Ускоряет производственный процесс Упрощает систему заключения

договоров между компаниями Возможность отчетности Налоговой

Инспекции подписанной вашим личным (секретным) ключом

С помощью ЭЦП сегодня работает электронный документооборот в Украине

Для подписи больше не нужна ручка и бумага? ЭЦП…

Сервери ІВК

Сервер відновлення ключів

Сервер сертифікатів

Сервер каталогів

Користувачі

Віддалений доступЗахищена електрона

поштаВіртуальна приватна

мережа WEB сервер

ІВК сумінісні застосування

…

Взаимодействие пользователей с серверами ІВК

Чтение секретного ключа с носителя

ivk.org.ua

В чем отличие зашифрованного файла от подписанного?

При шифровании файла используется открытый ключ получателя. Что обеспечивает то, что именно он получит файл и свои секретным ключом его откроет.

При подписи файла используется секретный ключ подписующего. Подпись можно проверить. Как? Получить его сертификат открытого ключа и проверить файл.

Для программистов

Шифрование исполняемого кода Гарантия невозможности Реверс

Инжиниринга

Защита цифровой подписью Защита от подделки

Липовая защита GSM сетей

Сегодня во всем мире используются стандарты: А5/1 - наиболее стойкий алгоритм,

применяемый в большинстве стран; А5/2 - менее стойкий алгоритм, внедряемый в

странах, в которых использование сильной криптографии нежелательно;

А5/0 - отсутствует шифрование A5/3 - модернизированная версия алгоритма

A5/1, разработанная после компрометации старых версий (разрабатывалась с использованием алгоритма KASUMI).

А5/1 используется уже 22 года Ключом является сессионный ключ длиной 64 бита, номер

кадра считается известным. Таким образом, сложность атаки основанной на прямом переборе равна 264.

В 1999 году Вагнеру и Голдбергу без труда удалось продемонстрировать атаку с помощью нулевых кадров. Сложность этой атаки равна 217, таким образом, на современном компьютере вскрытие шифра занимает несколько секунд.

2009 г –при помощи всего 40 компьютеров немцем,Карстеном Нолем, и его помощниками был найден ключ к дешифрованию защищенных GSM каналов. Составлена огромная таблица, применяя которую, можно подобрать ключ для получения доступа к содержанию текстовых сообщений или телефонного разговора.

Липовая защита GSM сетей

Липовая защита GSM сетей Для реализации перехвата разговора

потребуется пару тысяч долларов, вложенные в компьютер, специальное программное обеспечение и передатчики USRP2

Если потратить на оборудование чуть больше – 30 тысяч долларов – можно слушать такие разговоры в режиме реального времени. То есть скорость расшифровки будет невероятно велика

Члены GSMA признались, что планируют поднять старый алгоритм до нового стандарта A5/3, который уже начинает вводиться в действие

Проблема в том, что A5/3 уже теоретически сломан Ади Шамиром – одним из создателей RSA и его друзьями.

Нужно думать что говорить, а что не говорить по телефону.

Вынимать батарею при важных встречах

Использовать специализированные телефоны

Существуют специальные контейнеры, которые позволяют слышать вызов, но при этом не быть прослушанным.

Липовая защита GSM сетей: что же делать?

Стеганография - искусство быстрого набора или я что-то путаю?

«Это сообщение внутри картинкиСкрытие данных в пространственной области изображений»

Социальные сети

Проникновение стеганографии в социальные сети

Что хранить, а что не хранить в социальных сетях

Мои фотографии могут стать контейнером даже для передачи информации о теракте

Помимо этого помните, что вся информация которую вы вносите в соц. сети при ее изменении не уничтожается, а перезаписывается в архивы.

Божья «защита» от излишней информации

Рецепт:

Получать информацию данную нам Богом через святое писание и молитву.

Эта информация не заражена вирусами, не может быть взломана хакерами.

Лучший протокол безопастности – личные отношения с Богом

Вопросы для дискуссий:

Предложение – к официальным интернет изданиям добавлять цифровую подпись либо на базе международной защиты – цифровой водяной знак.

Вопросы для дискуссий:

Честность относительно официального программного обеспечения.

Защита не должна быть паранойей!!! Повторюсь!!!

The End

ВОПРОСЫ?

Предупреждение о «липовости» всех стандартов и Укр и Междунар

Защита беспроводных сетей?

WPA и WPA2 закрывают большинство проблем, которые есть у WEP, но они всё же остаются уязвимыми, особенно в варианте PSK.

Взлом WPA и WPA2 с паролем более сложен и требует больших затрат, особенно при использовании шифрования AES, но всё же возможен.

Подробно об ЭЦП в Украине

71

СТРУКТУРА СЕРТИФІКАТУ ВІДКРИТОГО КЛЮЧА

Версія

Серійний номер

Ідентифікатор алгоритму підпису

Ім'я емітента

Період дії (не раніше/не пізніше)

Ім'я суб'єкта

Інформація щодо відкритого ключа суб’єкта

Унікальний ідентифікатор емітента

Унікальний ідентифікатор суб’єкта

Розширення

Підпис Всі версії

Вер

сія

V1

Вер

сія

V2

Вер

сія

V3

72

ПЕРЕГЛЯД ВМІСТУ СЕРТИФІКАТУ ЗАСОБАМИ WINDOWS

73

ПЕРЕГЛЯД ВМІСТУ СЕРТИФІКАТУ ЗАСОБАМИ WINDOWS (продовження)

ОЧІКУВАНІ РЕЗУЛЬТАТИВІД ВПРОВАДЖЕННЯ

ЕЛЕКТРОННОГО ДОКУМЕНТООБІГУ З ЕЦП

► Формування довіри до системи за рахунок високого рівня захисту інформації

► Підвищення продуктивності роботи персоналу на 20-25%, зменшення на 30% часу на пошук та узгодження документівДовідково: близько 6% документів на паперових носіях незворотно загублюється, кожен внутрішній документ копіюється до 20 раз;

► Спрощення та суттєве прискорення процедур обслуговування клієнтів

► Створення принципово нових можливостей для забезпечення відкритості та гласності систем та установ за рахунок доступу до відкритих інформаційних ресурсів

► Зменшення витрат на 80% на архівне зберігання документів

14

ww

w.ivk.

org

.ua

ЕЛЕКТРОННИЙ ЦИФРОВИЙ ПІДПИС

3

ЗАКОН УКРАЇНИ “Про електронний цифровий підпис”№852-IV від 22.05.2003

ВЛАСТИВОСТІ ЕЦП

ВИКОРИСТАННЯ: Електронний цифровий підпис накладається за допомогою особистого ключа та перевіряється за допомогою відкритого ключа.

ВИЗНАЧЕННЯ: Електронний цифровий підпис - це вид електронного підпису, отриманого за результатом криптографічного перетворення набору електронних даних, який додається до цього набору або логічно з ним поєднується і дає змогу підтвердити його цілісність та ідентифікувати підписувача. ПРИЗНАЧЕННЯ: Електронний цифровий підпис використовується фізичними та юридичними особами – суб’єктами електронного документообігу для ідентифікації підписувача та підтвердження цілісності даних в електронній формі.

• захист від несанкціонованого використання за допомогою особистого ключа• підтвердження правильності за допомогою відкритого ключа• відсутність фізичної можливості виділити або відтворити особистий ключ з відкритого ключа

ww

w.ivk.

org

.ua