В Україні всі стосунки електронний документів та підписів визначаються Законами України «Про електронні документи та електронний документообіг» та «Про електронний цифровий підпис».
IV. Адміністрування ключами
Крім вибору криптографічної системи, що підходить для конкретної інформаційної системи, важлива проблема - адміністрування ключами. Якою б не була складною й надійною сама криптосистема, вона заснована на використанні ключів. Якщо для забезпечення конфіденційного обміну інформацією між двома користувачами процес обміну ключами тривіальний, то в ІС, де кількість користувачів складає десятки й сотні, управління ключами -серйозна проблема.
Під ключовою інформацією розуміється сукупність усіх діючих у ІС ключів. Якщо не забезпечене досить надійне управління ключовою інформацією, то, заволодівши нею, зловмисник одержує необмежений доступ до всієї інформації.
Адміністрування ключами - інформаційний процес, що містить в собі три елементи:
1.Генерацію ключів.
2.Накопичення ключів (організація їхнього збереження, обліку й вилучення).
3.Розподіл ключів між користувачами.
У загальному випадку задача управління ключами зводиться до створення такого протоколу розподілу ключів, який повинен забезпечувати:
- можливість розосередження розподілу ключів;
- взаємне підтвердження дійсності учасників сеансу;
- підтвердження вірогідності сеансу механізмом запиту-відповіді, використання для цього програмних або апаратних засобів;
- використання під час обміну ключами мінімального числа повідомлень.
ЛЕКЦІЯ 9
Тема: Стандарти із захисту інформації
План
1.Світові стандарти із захисту даних в комп'ютерних системах.
2.Державний стандарт України із захисту інформації.
І. Світові стандарти із захисту даних в комп'ютерних системах
Критерії безпеки комп'ютерних систем Міністерства оборони США, що отримали назву «Оранжева книга» (за кольором обкладинки), були розроблені Міністерством оборони США в 1983 році (перша версія) з метою визначення вимог безпеки, які висуваються до апаратного, програмного і спеціального забезпечення комп'ютерних систем і розробки відповідної методології аналізу політики безпеки, що реалізується в КС військового призначення.
У цьому документі були вперше нормативно визначене таке поняття, як «політика безпеки». Відповідно до «Оранжевої книги» безпечна КС - це система, яка підтримує керування доступом до оброблюваної в ній інформації таким чином, що відповідно авторизовані користувачі або процеси, що діють від їх імені, отримують можливість читати, писати, створювати і видаляти інформацію. Запропоновані в цьому документі концепції захисту і набір функціональних вимог послужили основою для формування інших стандартів безпеки інформації.
В «Оранжевій книзі» запропоновано три категорії вимог щодо безпеки -політика безпеки, аудит та коректність, у рамках яких сформульовано шість базових вимог безпеки. Перші чотири вимоги спрямовані безпосередньо на забезпечення безпеки інформації, дві інші - на якість самих засобів захисту:
- Вимога 1 (політика безпеки) - система має підтримувати точно визначену політику безпеки, можливість доступу до об'єктів повинна визначатися на основі їх ідентифікації і набору правил керування доступом;
- Вимога 2 (мітки) - кожен об'єкт повинен мати мітку, що використовується як атрибут контролю доступу;
- Вимога 3 (ідентифікація та аутентифікація) - всі суб'єкти повинні мати унікальні ідентифікатори; контроль доступу здійснюється на основі ідентифікації та аутентифікації суб'єкта та об'єкта доступу;
- Вимога 4 (реєстрація й облік) - всі події, що мають відношення до безпеки, мають відстежуватися і реєструватися в захищеному протоколі;
- Вимога 5 (контроль коректності функціонування засобів захисту) -засоби захисту перебувають під контролем засобів перевірки коректності, засоби захисту незалежні від засобів контролю коректності;
- Вимога 6 (безперервність захисту) - захист має бути постійним і безперервним у будь-якому режимі функціонування системи захисту і всієї системи в цілому.
Наступними після «Оранжевої книги» були розроблені «Критерії безпеки інформаційних технологій» (далі «Європейські критерії»). Вони були вперше опубліковані в 1991 році, а розроблені чотирма європейськими країнами: Францією, Німеччиною, Нідерландами та Великобританією.
«Європейські критерії» розглядають такі основні завдання інформаційної безпеки:
- захист інформації від НСД з метою забезпечення конфіденційності;
- забезпечення цілісності інформації шляхом захисту її від несанкціонованої модифікації або знищення;
- забезпечення працездатності систем за допомогою протидії загрозам відмови в обслуговуванні.
Загальна оцінка рівня безпеки системи складається з функціональної потужності засобів захисту і рівня адекватності їх реалізації.
Ефективність визначається функціональними критеріями, які розглядаються на трьох рівнях деталізації: перший - цілі безпеки, другий - специфікації функцій захисту, третій - механізми захисту. Специфікації функцій захисту розглядаються з точки зору таких вимог:
- ідентифікація й аутентифікація;
- керування доступом;
- підзвітність;
- аудит;
- повторне використання об'єктів;
-цілісність інформації;
-надійність обслуговування;
- безпечний обмін даними.
Набір функцій безпеки специфікується за допомогою визначених класів-шаблонів. Всього визначено десять класів (Р-С1, Р-С2, Р-В1, Р-В2, Р-ВЗ, Р-ІН, Р-АУ, Р-ВІ, Р-ОС, Р-ВХ) за зростаючими вимогами.
«Європейські критерії» визначають також сім рівнів адекватності - від ЕО до Е6 (за зростанням вимог при аналізі ефективності та коректності засобів захисту).
«Федеральні критерії безпеки інформаційних технологій» розроблялись як одна із складових «Американського федерального стандарту з обробки інформації'» і мали замінити «Оранжеву книгу». Розробниками стандарту виступили Національний інститут стандартів і технологій США та Агентство національної безпеки США. Перша версія документа була опублікована в грудні 1992 р.
Цей документ розроблений на основі результатів численних досліджень у галузі забезпечення інформаційних технологій 80-х - початку 90-х років, а також на основі досвіду використання «Оранжевої книги». Документ являє собою основу для розробки і сертифікації компонентів інформаційних технологій з погляду забезпечення безпеки.
Створення документа мало такі цілі:
1.Визначення універсального й відкритого для подальшого розвитку базового набору вимог безпеки до сучасних інформаційних технологій.
2.Удосконалення існуючих вимог і критеріїв безпеки.
3.Приведення у відповідність прийнятих у різних країнах вимог і критеріїв безпеки інформаційних технологій.
4. Нормативне закріплення основних принципів інформаційної безпеки.
Стандарт є узагальненням основних принципів забезпечення безпеки шформаційних технологій, розроблених у 80-ті роки, та забезпечує наступність стосовно них з метою збереження досягнень у галузі захисту інформації
Основними об'єктами вимог безпеки «Федеральних критеріїв» є продукти ІТ, під якими розуміється сукупність апаратних та програмних засобів, яка являє собою готовий до використання засіб обробки інформації і постачається споживачеві.
«Федеральні критерії» містять положення, що стосуються тільки окремих продуктів ІТ, а саме власних засобів забезпечення безпеки ІТ-продуктів, тобто механізмів захисту, вбудованих безпосередньо в ці продукти у вигляді відповідних програмних, апаратних чи спеціальних засобів. Для підвищення ефективності їх роботи можуть використовуватися зовнішні системи захисту і засоби забезпечення безпеки, до яких належать як технічні засоби, так і організаційні заходи, правові і юридичні норми.
Ключовим поняттям «Федеральних критеріїв» є поняття профілю захисту -нормативного документа, що регламентує всі аспекти безпеки ІТ-продукту у вигляді вимог до його проектування, технології розробки і кваліфікаційного аналізу.
«Єдині критерії безпеки інформаційних технологій» є результатом спільних зусиль авторів європейських «Критеріїв безпеки інформаційних технологій», «Федеральних критеріїв безпеки шформаційних технологій» і «Канадських критеріїв безпеки комп'ютерних систем», спрямованих на об'єднання основних положень цих документів і створення єдиного міжнародного стандарту безпеки інформаційних технологій. Робота над цим наймасштабнішим в історії стандартів інформаційної безпеки проектом почалася в червні 1993 року з метою подолання концептуальних і технічних розбіжностей між указаними документами, їх узгодження і створення єдиного міжнародного стандарту. Перша версія «Єдиних критеріїв» була опублікована в січні 1996 р. Розробниками документа виступили США, Велика Британія, Канада, Франція і Нідерланди.
Розробка цього стандарту мала такі основні цілі:
о уніфікація національних стандартів у сфері оцінки безпеки ІТ;
о підвищення рівня довіри до оцінки безпеки ІТ;
о скорочення витрат на оцінку безпеки ІТ на основі взаємного визнання сертифікатів.
Нові критерії були покликані забезпечити взаємне визнання результатів стандартизованої оцінки безпеки на світовому ринку ІТ.
Розробка версії 1.0 критеріїв була завершена в січні 1996 року і схвалена ІСО (Міжнародна організація зі стандартизації) у квітні 1996 року. Був проведений ряд експериментальних оцінок на основі версії 1.0, а також організоване широке обговорення документа.