Cos'è la crittografia e come viene utilizzata nelle criptovalute. Protezione crittografica delle informazioni La crittografia si riferisce ai mezzi per proteggere i sistemi informativi

Costantino Cherezov, Specialista leader SafeLine, gruppo di società Informzashchita

QUANDO ci è stato chiesto di elaborare criteri per confrontare l'intero mercato russo della protezione delle informazioni crittografiche (CIPF), sono stato colto da un leggero smarrimento. Trascorrere revisione tecnica Il mercato russo della protezione delle informazioni crittografiche non è difficile, ma determinare criteri di confronto comuni per tutti i partecipanti e allo stesso tempo ottenere un risultato oggettivo: una missione dalla categoria degli impossibili.

Ricominciare

Il teatro inizia con un gancio e una revisione tecnica inizia con definizioni tecniche. Il CIPF nel nostro Paese è così classificato (in accesso libero sono scarsamente rappresentati), quindi la loro definizione più recente è stata trovata nel Documento Guida della Commissione Tecnica di Stato del 1992: "CIPF è uno strumento informatico che esegue la trasformazione crittografica delle informazioni per garantirne la sicurezza".

L'interpretazione del termine "strumento di tecnologia informatica" (CVT) è stata trovata in un altro documento della Commissione Tecnica di Stato: "CVT è inteso come un insieme di software ed elementi tecnici di sistemi di elaborazione dati che possono funzionare indipendentemente o come parte di altri sistemi ."

Pertanto, CIPF è un insieme di software ed elementi tecnici dei sistemi di elaborazione dei dati che possono funzionare in modo indipendente o come parte di altri sistemi ed eseguire la trasformazione crittografica delle informazioni per garantirne la sicurezza.

La definizione è esauriente. In effetti, CIPF è qualsiasi hardware, hardware-software o soluzione software, eseguendo in un modo o nell'altro la protezione crittografica delle informazioni. E se ricordiamo anche il decreto del governo della Federazione Russa n. 691, ad esempio, per CIPF limita chiaramente la lunghezza della chiave crittografica - almeno 40 bit.

Da quanto precede, possiamo concludere che è possibile esaminare il mercato russo della protezione delle informazioni crittografiche, ma è impossibile riunirli, trovare criteri comuni per tutti e tutti, confrontarli e ottenere un risultato oggettivo allo stesso tempo.

Media e generale

Tuttavia, tutti i CIPF russi hanno punti di contatto comuni, sulla base dei quali è possibile compilare un determinato elenco di criteri per riunire tutti gli strumenti crittografici. Un tale criterio per la Russia è la certificazione del CIPF da parte dell'FSB (FAPSI), poiché la legislazione russa non implica il concetto di "protezione crittografica" senza un certificato appropriato.

D'altra parte, i "punti comuni di contatto" di qualsiasi CIPF lo sono specifiche lo strumento stesso, come gli algoritmi utilizzati, la lunghezza della chiave, ecc. Tuttavia, confrontando il sistema di protezione delle informazioni crittografiche secondo questi criteri, il quadro generale è fondamentalmente errato. Dopotutto, ciò che è buono e giusto per un provider di crittografia implementato da software è completamente ambiguo per un gateway crittografico hardware.

C'è un altro punto importante (perdonatemi "colleghi in negozio"). Il fatto è che ci sono due punti di vista piuttosto diversi sul CIPF nel suo insieme. Sto parlando di "tecnico" e "consumatore".

La vista "tecnica" del CIPF copre una vasta gamma di parametri e caratteristiche tecniche del prodotto (dalla lunghezza della chiave di crittografia all'elenco dei protocolli implementati).

La visione del "consumatore" è fondamentalmente diversa da quella "tecnica" in quanto le caratteristiche funzionali di un determinato prodotto non sono considerate dominanti. Emergono numerosi fattori completamente diversi: prezzo, facilità d'uso, scalabilità della soluzione, disponibilità di un adeguato supporto tecnico da parte del produttore, ecc.

Tuttavia, per il mercato CIPF, c'è ancora un parametro importante che permette di abbinare tutti i prodotti e allo stesso tempo di ottenere un risultato sufficientemente adeguato. Sto parlando della divisione di tutti gli strumenti di protezione delle informazioni crittografiche in aree di applicazione e per la risoluzione di alcuni problemi: archiviazione affidabile; protezione dei canali di comunicazione; implementazione della gestione sicura dei documenti (EDS), ecc.

In questa pubblicazione sono già state effettuate revisioni comparative tematiche nel campo dell'applicazione di vari strumenti di protezione delle informazioni crittografiche russe, ad esempio le VPN russe, ovvero la protezione dei canali di comunicazione. Forse in futuro ci saranno revisioni su altre aree di applicazione degli strumenti di protezione delle informazioni crittografiche.

Ma in questo caso si è cercato solo di combinare tutte le soluzioni di protezione delle informazioni crittografiche presentate sul mercato russo in un'unica tabella basata su "punti comuni" comuni. Naturalmente, questa tabella non fornisce un confronto oggettivo. funzionalità alcuni prodotti, ma è un materiale di recensione.

Criteri generalizzabili - per tutti

Per una tabella generalizzata del mercato CIPF russo, in definitiva si possono elaborare i seguenti criteri:

• Azienda manifatturiera. Secondo i dati disponibili al pubblico (Internet), in Russia al momento ci sono circa 20 aziende che sviluppano strumenti di protezione delle informazioni crittografiche.
• Tipo di implementazione (hardware, software, hardware-software). Separazione obbligatoria, che tuttavia ha confini molto confusi, poiché esistono, ad esempio, strumenti di protezione delle informazioni crittografiche ottenuti installando alcuni componenti software - controlli e la libreria crittografica stessa, e di conseguenza si posizionano come strumento hardware e software, sebbene in effetti sono solo accesi.
• Disponibilità di certificati di conformità validi dell'FSB della Russia e classi di protezione. Prerequisito per il mercato russo CIPF, inoltre, il 90% delle soluzioni avrà le stesse classi di protezione.
• Algoritmi crittografici implementati (specificare GOST). Anche un prerequisito è la presenza di GOST 28147-89.
• Sistemi operativi supportati. Un indicatore piuttosto controverso, importante per una libreria crittografica implementata da software e del tutto insignificante per una soluzione puramente hardware.
• API fornita. Un indicatore funzionale essenziale, altrettanto importante sia per il punto di vista "tecnico" che per quello "consumatore".
• La presenza di un'implementazione del protocollo SSL/TLS. Sicuramente un indicatore “tecnico” espandibile in termini di implementazione di altri protocolli.
• Tipi di supporti chiave supportati. Criterio "tecnico", che fornisce un indicatore molto ambiguo per vari tipi implementazione del CIPF - hardware o software.
• Integrazione con prodotti e soluzioni Microsoft, nonché con prodotti e soluzioni di altri produttori. Entrambi i criteri sono più legati a software CIPF di tipo "cryptobi-library", mentre l'utilizzo di questi criteri, ad esempio, per un complesso hardware per la costruzione di una VPN, sembra molto dubbio.
• Disponibilità del kit di distribuzione del prodotto in accesso gratuito al sito web del produttore, alla rete di distribuzione dei rivenditori e al servizio di supporto (criterio temporale). Tutti e tre questi criteri sono inequivocabilmente "consumatori", e vengono alla ribalta solo quando la funzionalità specifica del CIPF, l'ambito e la gamma di compiti da risolvere sono già predeterminati.

conclusioni

In conclusione, focalizzo l'attenzione del lettore sui due punti più importanti di questa recensione.

In primo luogo, la scelta del CIPF dovrebbe inizialmente basarsi sull'ambito di applicazione, che restringe notevolmente la gamma di soluzioni possibili.

In secondo luogo, i punti di vista "tecnici" e "consumatori" sul CIPF non dovrebbero entrare in conflitto, la presenza di funzionalità CIPF uniche non dovrebbe prevalere sul buon senso quando si sceglie un produttore con un'ampia rete di distribuzione del prodotto, una politica dei prezzi accessibile e un servizio di supporto tecnico adeguato.

1.1. Questa politica sull'uso degli strumenti di protezione delle informazioni crittografiche ( Ulteriore - Politica ) determina la procedura per organizzare e garantire il funzionamento della cifratura ( crittografico) mezzi volti a proteggere le informazioni che non contengono informazioni che costituiscono un segreto di Stato ( Ulteriore - CIPF, cripto-mezzi ) se sono utilizzati per garantire la sicurezza delle informazioni riservate e dei dati personali durante il loro trattamento in sistemi di informazione Oh.

1.2. La presente Politica è stata sviluppata in virtù di:

• legge federale "A proposito di dati personali" , atti normativi del governo della Federazione Russa nel campo della garanzia della sicurezza dei dati personali;
• Legge federale n. 63-FZ "A proposito di firma elettronica" ;
• Ordine dell'FSB della Federazione Russa n. 378 "Su approvazione della Composizione e del contenuto delle misure organizzative e tecniche per garantire la sicurezza dei dati personali durante il loro trattamento nei sistemi informatici dei dati personali utilizzando strumenti di protezione delle informazioni crittografiche necessari per soddisfare i requisiti stabiliti dal governo della Federazione Russa per la protezione di dati personali per ciascuno dei livelli di sicurezza";
• Ordine FAPSI n. 152 " Dopo l'approvazione dell'Istruzione sull'organizzazione e la garanzia della sicurezza dell'archiviazione, dell'elaborazione e della trasmissione attraverso i canali di comunicazione utilizzando la protezione crittografica delle informazioni ad accesso limitato che non contengono informazioni che costituiscono un segreto di stato»;
• Ordine del Servizio di sicurezza federale della Federazione Russa N 66 " Dopo l'approvazione del regolamento sullo sviluppo, produzione, vendita e funzionamento di mezzi crittografici (crittografici) di protezione delle informazioni (regolamento PKZ-2005) »;

1.3. Questa politica si applica agli strumenti crittografici progettati per garantire la sicurezza delle informazioni riservate e dei dati personali durante il loro trattamento nei sistemi informativi;

1.4. Mezzi crittografici di protezione delle informazioni ( Ulteriore - CIPF ) che implementano le funzioni di crittografia e firma elettronica sono utilizzati per proteggere i documenti elettronici trasmessi su canali di comunicazione pubblica, ad esempio Internet pubblica, o tramite canali di comunicazione dial-up.

1.5. Per garantire la sicurezza, è necessario utilizzare il CIPF, che:

• consentire l'incorporamento processi tecnologici elaborare messaggi elettronici, fornire interazione con software applicativo a livello di elaborazione di richieste di trasformazioni crittografiche e rilascio di risultati;
• sono forniti dagli sviluppatori con una serie completa di documentazione operativa, inclusa una descrizione del sistema chiave, le regole per lavorare con esso, nonché una motivazione per l'organizzazione e il personale necessari;
• sostenere la continuità dei processi di registrazione del funzionamento del CIPF e di assicurarne l'integrità Software per l'ambiente di funzionamento del CIPF, che è un insieme di strumenti hardware e software, insieme ai quali ha luogo il regolare funzionamento del CIPF e che possono influenzare l'adempimento dei requisiti per il CIPF;
• certificato da un ente statale autorizzato o avere il permesso dell'FSB della Russia.

1.6. Il CIPF utilizzato per proteggere i dati personali deve avere una classe di almeno KS2.

1.7. I CIPF sono implementati sulla base di algoritmi che rispettano gli standard nazionali della Federazione Russa, i termini del contratto con la controparte.

1.8. CIPF, licenze, documenti chiave correlati, istruzioni per CIPF vengono acquisiti dall'organizzazione in modo indipendente o possono essere ottenuti da un'organizzazione di terze parti che avvia un flusso di documenti sicuro.

1.9. Il CIPF, inclusi i supporti di installazione, i documenti chiave, le descrizioni e le istruzioni per il CIPF, costituiscono un segreto commerciale ai sensi del Regolamento sulle informazioni riservate.

1. La procedura per l'utilizzo del CIPF

2.1. L'installazione e la configurazione degli strumenti di protezione delle informazioni crittografiche vengono eseguite in conformità con la documentazione operativa, le istruzioni del Servizio di sicurezza federale russo e altre organizzazioni coinvolte nella gestione sicura dei documenti elettronici. Al termine dell'installazione e della configurazione, viene verificata la prontezza all'uso del CIPF, si elaborano conclusioni sulla possibilità del loro funzionamento e viene messo in funzione il CIPF.

Il posizionamento e l'installazione di CIPF, nonché di altre apparecchiature che operano con criptovalute, in locali sensibili dovrebbero ridurre al minimo la possibilità di accesso incontrollato a tali mezzi da parte di persone non autorizzate. La manutenzione di tali apparecchiature e il cambio delle chiavi crittografiche vengono effettuati in assenza di persone non autorizzate a lavorare con i dati CIPF. È necessario prevedere misure organizzative e tecniche che escludano la possibilità di utilizzo del CIPF da parte di persone non autorizzate. L'ubicazione fisica del CIPF dovrebbe garantire la sicurezza del CIPF, impedendo l'accesso non autorizzato al CIPF. L'accesso delle persone ai locali in cui si trovano i dispositivi di protezione è limitato in base alla necessità del servizio ed è determinato da un elenco approvato dal direttore.

L'incorporamento di criptovalute di classe KS1 e KS2 viene effettuato senza controllo dall'FSB della Russia ( se tale controllo non è previsto dal capitolato per lo sviluppo (ammodernamento) del sistema informativo).

L'incorporamento degli strumenti crittografici delle classi KS3, KB1, KB2 e KA1 viene effettuato solo sotto il controllo dell'FSB della Russia.

L'incorporamento di strumenti crittografici della classe KS1, KS2 o KS3 può essere effettuato dall'utente stesso dello strumento crittografico, se dispone della licenza appropriata dell'FSB della Russia, o da un'organizzazione che dispone della licenza appropriata dal FSB della Russia.

L'incorporamento di uno strumento crittografico della classe KV1, KV2 o KA1 viene effettuato da un'organizzazione che dispone della licenza appropriata dell'FSB della Russia.

La disattivazione del CIPF è effettuata subordinatamente a procedure che garantiscono la cancellazione garantita delle informazioni, il cui uso non autorizzato può danneggiare le attività commerciali dell'organizzazione, e delle informazioni utilizzate dagli strumenti di sicurezza delle informazioni, dalla memoria permanente e da supporti esterni ( ad eccezione degli archivi di documenti elettronici e dei protocolli di interazione elettronica, il cui mantenimento e conservazione per un determinato periodo di tempo sono previsti dai relativi atti normativi e (o) contrattuali) ed è redatto dalla legge. CIPF distruggi ( smaltire) con decisione del proprietario dello strumento crittografico, e con notifica all'organismo responsabile secondo l'organizzazione della contabilizzazione delle copie degli strumenti crittografici.

programmato per la distruzione raccolta differenziata) CIPF sono soggetti al ritiro dall'hardware con cui hanno funzionato. Allo stesso tempo, gli strumenti crittografici si considerano ritirati dall'hardware se è completata la procedura di rimozione del software degli strumenti crittografici prevista dalla documentazione operativa e tecnica del CIPF e sono completamente scollegati dall'hardware.

Unità e parti di hardware per uso generico adatte per un ulteriore utilizzo che non sono specificamente progettate per l'implementazione hardware di algoritmi crittografici o altre funzioni di protezione delle informazioni crittografiche, nonché apparecchiature che funzionano insieme a strumenti crittografici ( monitor, stampanti, scanner, tastiere, ecc.), è consentito l'uso dopo la distruzione del CIPF senza restrizioni. Allo stesso tempo, le informazioni che possono rimanere nei dispositivi di memoria dell'apparecchiatura ( ad esempio stampanti, scanner), deve essere rimosso in modo sicuro ( cancellato).

2.2. Il funzionamento del CIPF è svolto da persone nominate per ordine del direttore dell'organizzazione e addestrate a lavorare con loro. Se ci sono due o più utenti del CIPF, i compiti tra di loro sono distribuiti tenendo conto della responsabilità personale per la sicurezza dei cripto-mezzi, della chiave, della documentazione operativa e tecnica, nonché delle aree di lavoro assegnate.

Gli utenti di criptovalute sono tenuti a:

• non divulgare informazioni alle quali sono ammessi, comprese informazioni sul CIPF e altre misure di protezione;
• non divulgare informazioni sui documenti chiave;
• impedire che vengano fatte copie di documenti chiave;
• impedire la visualizzazione di documenti chiave ( tenere sotto controllo) personal computer o stampante;
• non consentire la registrazione di informazioni estranee sul vettore chiave;
• impedire l'installazione di documenti chiave su altri personal computer;
• rispettare i requisiti per garantire la sicurezza delle informazioni, i requisiti per garantire la sicurezza del CIPF e dei documenti chiave ad essi relativi;
• segnalare tentativi da parte di persone non autorizzate di cui sono venuti a conoscenza di ottenere informazioni sugli strumenti di protezione delle informazioni crittografiche utilizzati o documenti chiave per loro;
• notificare immediatamente i fatti di smarrimento o carenza di CIPF, documenti chiave ad essi, chiavi di locali, caveau, sigilli personali e altri fatti che possono portare alla divulgazione di informazioni protette;
• consegnare il CIPF, la documentazione operativa e tecnica per gli stessi, i documenti chiave in caso di licenziamento o revoca dall'esercizio delle funzioni relative all'uso degli strumenti crittografici.

La sicurezza del trattamento delle informazioni tramite CIPF è garantita da:

• rispetto della riservatezza da parte degli utenti nel trattamento delle informazioni loro affidate o di cui vengono a conoscenza durante il lavoro, comprese le informazioni sul funzionamento e sulle procedure di sicurezza degli strumenti di protezione delle informazioni crittografiche applicati e dei documenti chiave per gli stessi;
• esatto adempimento da parte degli utenti CIPF dei requisiti per la sicurezza delle informazioni;
• archiviazione affidabile della documentazione operativa e tecnica per CIPF, documenti chiave, supporti di distribuzione limitata;
• rilevamento tempestivo di tentativi da parte di persone non autorizzate di ottenere informazioni su informazioni protette, sul CIPF utilizzato o sui documenti chiave per loro stessi;
• adottare misure immediate per prevenire la divulgazione di informazioni protette, nonché la loro possibile fuga in caso di perdita o carenza di CIPF, documenti chiave per loro, certificati, tessere, chiavi di locali, caveau, casseforti ( armadi in metallo), sigilli personali, ecc.

Qualora sia necessario trasmettere tramite mezzi tecnici di comunicazione messaggi di servizio ad accesso limitato relativi all'organizzazione e al funzionamento del CIPF, tali messaggi devono essere trasmessi esclusivamente mediante mezzi crittografici. Non è consentito il trasferimento di chiavi crittografiche tramite mezzi tecnici di comunicazione, ad eccezione di sistemi appositamente organizzati con fornitura decentralizzata di chiavi crittografiche.

I CIPF sono soggetti alla contabilizzazione mediante indici o nomi condizionali e numeri di registrazione. L'elenco degli indici, dei nomi convenzionali e dei numeri di registrazione delle criptovalute è determinato dal Servizio di sicurezza federale della Federazione Russa.

CIPF utilizzati o archiviati, documentazione operativa e tecnica per loro, documenti chiave sono soggetti a copia contabile. La forma del Registro CIPF è riportata nell'Appendice n. 1, il Registro dei vettori chiave nell'Appendice n. 2 della presente Polizza. Allo stesso tempo, il software CIPF dovrebbe essere preso in considerazione insieme all'hardware con cui viene eseguito il loro normale funzionamento. Se al bus di sistema o ad una delle interfacce hardware interne sono collegati mezzi di protezione delle informazioni crittografiche hardware o hardware-software, anche tali strumenti crittografici vengono presi in considerazione insieme all'hardware corrispondente.

L'unità di contabilità delle copie dei documenti chiave è considerata un portachiavi riutilizzabile, un blocco note chiave. Se lo stesso supporto chiave viene utilizzato ripetutamente per registrare le chiavi crittografiche, è necessario registrarlo separatamente ogni volta.

Tutte le copie ricevute di criptovalute, documentazione operativa e tecnica per loro, i documenti chiave devono essere rilasciati contro ricevuta nell'apposito registro delle copie agli utenti di criptovalute che sono personalmente responsabili della loro sicurezza.

Il trasferimento della CIPF, della documentazione tecnica e operativa agli stessi, dei documenti chiave è consentito solo tra gli utenti degli strumenti crittografici e (o) l'utente responsabile degli strumenti crittografici, previa ricezione nei relativi registri di contabilità di istanza. Tale trasferimento tra utenti di strumenti crittografici deve essere autorizzato.

Lo stoccaggio dei supporti di installazione CIPF, della documentazione operativa e tecnica, i documenti chiave viene effettuato in armadi ( scatole, deposito) l'uso individuale in condizioni che ne escludono l'accesso incontrollato, nonché la loro distruzione involontaria.

L'hardware con il quale viene svolto il regolare funzionamento del CIPF, così come il CIPF hardware e hardware-software devono essere dotati di mezzi per controllarne l'apertura ( sigillato, sigillato). Luogo di sigillatura ( sigillatura) cripto-mezzi, l'hardware dovrebbe essere tale da poter essere controllato visivamente. Se esiste una possibilità tecnica per l'assenza di utenti di strumenti crittografici, questi strumenti devono essere disconnessi dalla linea di comunicazione e riposti in depositi sigillati.

Le modifiche al software CIPF e alla documentazione tecnica per il CIPF vengono eseguite sulla base degli aggiornamenti ricevuti dal produttore del CIPF e degli aggiornamenti documentati con la fissazione dei checksum.

Il funzionamento del CIPF prevede il mantenimento di almeno due copie di backup del software e una backup vettori chiave. Il recupero delle prestazioni CIPF in situazioni di emergenza viene effettuato in conformità con la documentazione operativa.

2.3. La produzione di documenti chiave dalle informazioni chiave originali viene effettuata dagli utenti responsabili del sistema di protezione delle informazioni crittografiche, utilizzando strumenti crittografici standard, se tale opportunità è prevista dalla documentazione operativa e tecnica in presenza di una licenza del Federal Servizio di sicurezza della Russia per la produzione di documenti chiave per strumenti crittografici.

I documenti chiave possono essere consegnati tramite corriere ( compreso dipartimentale) la comunicazione o con gli utenti responsabili appositamente designati di strumenti crittografici e dipendenti, fatte salve misure che escludano l'accesso incontrollato ai documenti chiave durante la consegna.

Per inviare i documenti chiave, devono essere collocati in un imballaggio resistente, che esclude la possibilità di danni fisici e influenze esterne. Sui pacchetti indicare l'utente responsabile a cui sono destinati questi pacchetti. Tali pacchetti sono contrassegnati come "Personalmente". Le confezioni sono sigillate in modo tale che sia impossibile estrarne il contenuto senza violare le confezioni e le impronte di sigillatura.

Prima della prima espulsione ( o tornare) il destinatario è informato con lettera separata della descrizione dei colli che gli sono stati inviati e dei sigilli con cui possono essere sigillati.

Per inviare i documenti chiave, viene preparata una lettera di accompagnamento, in cui è necessario indicare: cosa viene inviato e in quale quantità, numeri di conto dei documenti e, se necessario, lo scopo e la procedura di utilizzo dell'articolo inviato. Una lettera di accompagnamento è allegata in uno dei pacchetti.

I pacchetti ricevuti vengono aperti solo dall'utente responsabile degli strumenti crittografici a cui sono destinati. Se il contenuto del pacco ricevuto non corrisponde a quelli specificati nella lettera di accompagnamento o nel pacco stesso e nel sigillo - la loro descrizione ( impressione), ed anche se l'imballo risulta danneggiato, con conseguente libero accesso al suo contenuto, il destinatario redige atto che viene inviato al mittente. I documenti chiave ricevuti con tali spedizioni non possono essere utilizzati fino a quando non vengono ricevute le istruzioni dal mittente.

Se vengono trovati documenti chiave o chiavi crittografiche difettosi, una copia del prodotto difettoso deve essere restituita al produttore per determinare le cause dell'incidente ed eliminarle in futuro, e le copie rimanenti devono essere conservate fino a quando non vengono fornite ulteriori istruzioni dal produttore ricevuto.

La ricezione dei documenti chiave deve essere confermata al mittente secondo la procedura indicata nella lettera di accompagnamento. Il mittente è obbligato a controllare la consegna dei suoi invii ai destinatari. Se l'apposita conferma non è stata ricevuta dal destinatario in modo tempestivo, il mittente deve farne richiesta e prendere provvedimenti per chiarire l'ubicazione degli invii.

Viene effettuato in anticipo un ordine per la produzione dei successivi documenti chiave, la loro produzione e distribuzione ai luoghi di utilizzo per la sostituzione tempestiva dei documenti chiave esistenti. Un'indicazione dell'entrata in vigore dei successivi documenti chiave è data dall'utente responsabile degli strumenti crittografici solo dopo aver ricevuto conferma da parte sua di aver ricevuto i successivi documenti chiave.

I documenti chiave non utilizzati o fuori uso devono essere restituiti all'utente responsabile degli strumenti crittografici o, su sua indicazione, devono essere distrutti sul posto.

Distruzione di chiavi crittografiche ( informazioni chiave iniziali) può essere fatto distruggendo fisicamente il supporto chiave su cui si trovano o cancellando ( distruzione) chiavi crittografiche ( informazioni chiave iniziali) senza danneggiare il porta chiavi ( per consentirne il riutilizzo).

Chiavi crittografiche ( informazioni chiave originali) vengono cancellati in base alla tecnologia adottata per il corrispondente supporto chiave riutilizzabile ( floppy disk, compact disk (CD-ROM), Data Key, Smart Card, Touch Memory, ecc.). Azioni dirette per cancellare le chiavi crittografiche ( informazioni chiave iniziali), nonché eventuali restrizioni all'ulteriore utilizzo dei supporti riutilizzabili delle chiavi pertinenti sono disciplinati dalla documentazione tecnica e operativa per i pertinenti strumenti di protezione delle informazioni crittografiche, nonché dalle istruzioni dell'organizzazione che ha registrato le chiavi crittografiche ( informazioni chiave iniziali).

I vettori chiave vengono distrutti infliggendo loro danni fisici irreparabili, escludendo la possibilità del loro utilizzo, nonché ripristinando le informazioni chiave. Le azioni dirette per distruggere un tipo specifico di supporto chiave sono regolate dalla documentazione tecnica e operativa per i relativi strumenti di protezione delle informazioni crittografiche, nonché dalle istruzioni dell'organizzazione che ha registrato le chiavi crittografiche ( informazioni chiave iniziali).

La carta e altri supporti per chiavi combustibili vengono distrutti bruciando o utilizzando macchine per il taglio della carta.

I documenti chiave vengono distrutti entro i termini specificati nella documentazione operativa e tecnica per il CIPF pertinente. Il fatto di distruzione è documentato nei relativi registri copia per istanza.

La distruzione secondo l'atto è effettuata da una commissione composta da almeno due persone. L'atto specifica cosa viene distrutto e in quale quantità. Al termine dell'atto si procede all'ultima annotazione (in numeri e in lettere) sul numero dei pezzi e delle copie dei documenti chiave da distruggere, installando la documentazione mediatica, operativa e tecnica del CIPF. Le correzioni nel testo dell'atto devono essere specificate e certificate dalle firme di tutti i membri della commissione che hanno preso parte alla distruzione. Sulla distruzione effettuata, i voti vengono fatti nei corrispondenti giornali di contabilità delle copie.

Le criptovalute sospettate di essere compromesse, così come le altre criptochiavi che operano in concomitanza con esse, devono essere immediatamente disattivate, salvo diversa indicazione nella documentazione operativa e tecnica del CIPF. In casi di emergenza, quando non ci sono chiavi crittografiche in sostituzione di quelle compromesse, è consentito, su decisione dell'utente responsabile degli strumenti crittografici, concordato con l'operatore, utilizzare le chiavi crittografiche compromesse. In questo caso, il periodo di utilizzo delle chiavi crittografiche compromesse dovrebbe essere il più breve possibile e le informazioni protette dovrebbero avere il minor valore possibile.

Sulle violazioni che possono portare alla compromissione di chiavi crittografiche, loro componenti o trasmesse ( immagazzinato) con il loro utilizzo dei dati, gli utenti degli strumenti crittografici sono tenuti a riferire all'utente responsabile degli strumenti crittografici.

L'ispezione di supporti chiave riutilizzabili da parte di persone non autorizzate non deve essere considerata un sospetto di compromissione delle chiavi crittografiche, se ciò esclude la possibilità di copiarle ( lettura, riproduzione).

In caso di carenza, mancata presentazione dei documenti chiave, nonché incertezza sulla loro ubicazione, l'utente responsabile adotta misure urgenti per ricercarli e localizzare le conseguenze della compromissione dei documenti chiave.

1. Procedura di gestione del sistema chiave

La registrazione delle persone con diritti di gestione delle chiavi viene effettuata in conformità con la documentazione operativa per il CIPF.

La gestione delle chiavi è un processo informativo che comprende tre elementi:

- generazione chiavi;

— accumulo di chiavi;

- distribuzione delle chiavi.

Nei sistemi informativi dell'organizzazione vengono utilizzati metodi hardware e software speciali per la generazione di chiavi casuali. Di norma vengono utilizzati generatori di numeri pseudo casuali ( Ulteriore - PSC ), con un grado sufficientemente elevato di casualità della loro generazione. Abbastanza accettabili sono i generatori di chiavi software che calcolano il PRNG come una funzione complessa dell'ora corrente e ( o) numero inserito dall'utente.

Per accumulo di chiavi si intende l'organizzazione della loro conservazione, contabilità e cancellazione.

Le chiavi segrete non devono essere scritte in modo esplicito su un supporto che può essere letto o copiato.

Tutte le informazioni sulle chiavi utilizzate devono essere archiviate in forma crittografata. Le chiavi che crittografano le informazioni sulla chiave sono chiamate chiavi master. Ogni utente deve conoscere a memoria le chiavi maestra, è vietato memorizzarle su qualsiasi supporto materiale.

Per la condizione di sicurezza delle informazioni, è necessario aggiornare periodicamente le informazioni chiave nei sistemi informativi. Questo riassegna sia le chiavi normali che le chiavi principali.

Quando si distribuiscono le chiavi, devono essere soddisfatti i seguenti requisiti:

- efficienza ed accuratezza della distribuzione;

— segreto delle chiavi distribuite.

Un'alternativa è che due utenti ottengano una chiave condivisa da un'autorità centrale, un centro di distribuzione delle chiavi (KDC), attraverso il quale possono interagire in modo sicuro. Per organizzare lo scambio di dati tra il CRC e l'utente, a quest'ultimo viene assegnata una chiave speciale in fase di registrazione, che crittografa i messaggi trasmessi tra di loro. Ad ogni utente viene assegnata una chiave separata.

GESTIONE DELLE CHIAVI BASATA SU SISTEMI A CHIAVE PUBBLICA

Prima di utilizzare un sistema crittografico a chiave pubblica per lo scambio di chiavi segrete ordinarie, gli utenti devono scambiare le proprie chiavi pubbliche.

La gestione delle chiavi pubbliche può essere eseguita tramite un servizio di directory online o offline e gli utenti possono anche scambiare le chiavi direttamente.

1. Monitoraggio e controllo dell'uso del CIPF

Per aumentare il livello di sicurezza durante l'operazione di protezione delle informazioni crittografiche nel sistema, è necessario implementare procedure di monitoraggio che registrino tutti gli eventi significativi avvenuti durante lo scambio messaggi elettronici e tutti gli incidenti di sicurezza delle informazioni. La descrizione e l'elenco di tali procedure dovrebbero essere stabiliti nella documentazione operativa del CIPF.

Il controllo dell'uso del CIPF prevede:

• controllo della conformità dell'impostazione e della configurazione degli strumenti di sicurezza delle informazioni, nonché degli strumenti hardware e software che possono influire sull'adempimento dei requisiti per gli strumenti di sicurezza delle informazioni, della documentazione normativa e tecnica;
• monitorare il rispetto delle regole per la conservazione delle informazioni ad accesso riservato utilizzate nel funzionamento degli strumenti di sicurezza delle informazioni ( in particolare, chiave, password e informazioni di autenticazione);
• controllo della possibilità di accesso da parte di soggetti non autorizzati a strumenti di sicurezza delle informazioni, nonché a strumenti hardware e software che possono pregiudicare l'adempimento dei requisiti per gli strumenti di sicurezza delle informazioni;
• monitorare il rispetto delle regole di risposta agli incidenti informativi informativi ( sui fatti di perdita, compromissione di chiavi, password e informazioni di autenticazione, nonché qualsiasi altra informazione ad accesso limitato);
• controllo di conformità dei mezzi tecnici e software del CIPF e documentazione per questi mezzi con campioni di riferimento ( garanzie del fornitore o meccanismi di controllo che consentano di stabilire autonomamente tale conformità);
• controllo dell'integrità dell'hardware e del software del CIPF e documentazione per questi strumenti durante la conservazione e la messa in servizio di questi strumenti ( avvalendosi sia dei meccanismi di controllo descritti nella documentazione per il CIPF, sia di tipo organizzativo).

Scarica il file ZIP (43052)

I documenti sono tornati utili: metti "mi piace" o:

Ascolta... puoi, per il nostro bene comune, ogni lettera che arriva al tuo ufficio postale, in entrata e in uscita, sai, stamparla un po' e leggerla: contiene qualche rapporto o solo corrispondenza .. .

NV Gogol "Ispettore"

Idealmente, solo due persone dovrebbero poter leggere una lettera riservata: il mittente e colui a cui è indirizzata.La formulazione di una cosa così apparentemente molto semplice è stata il punto di partenza dei sistemi di criptoprotezione. Lo sviluppo della matematica ha dato impulso allo sviluppo di tali sistemi.

Già nei secoli XVII-XVIII, i codici in Russia erano piuttosto sofisticati e resistenti alla rottura. Molti matematici russi hanno lavorato alla creazione o al miglioramento di sistemi di crittografia e allo stesso tempo hanno cercato di raccogliere le chiavi dei codici di altri sistemi. Attualmente si possono notare diversi sistemi di crittografia russi, come Lexicon Verba, Secret Net, DALLAS LOCK, Secret Disk, la famiglia di prodotti Accord, ecc.Ne parleremo.Farai anche conoscenza dei principali software e hardware-software complessi di criptoprotezione, scopri le loro capacità, punti di forza e di debolezza. Ci auguriamo che questo articolo ti aiuti a scegliere un sistema di protezione crittografica.

Sei preoccupato che informazioni importanti dal tuo computer possano finire nelle mani sbagliate? Queste informazioni possono essere utilizzate da concorrenti, autorità di regolamentazione e semplicemente malvagi. Ovviamente, tali azioni possono causare danni significativi. Cosa fare? Per proteggere le tue informazioni da estranei, devi installare uno dei programmi di crittografia dei dati. La nostra recensione è dedicata all'analisi dei sistemi di crittografia per i sistemi desktop. Va notato che l'uso di sistemi di crittografia stranieri in Russia è fortemente limitato per una serie di motivi, quindi le organizzazioni governative e le grandi società nazionali sono costrette a utilizzare gli sviluppi russi. Tuttavia, le medie e piccole imprese, così come i privati, a volte preferiscono i sistemi esteri.

Per chi non lo sapesse, la crittografia delle informazioni sembra una sorta di magia nera. In effetti, crittografare i messaggi per nascondere il loro contenuto agli estranei è un problema matematico complesso. Inoltre, il cifrario deve essere scelto in modo tale che sia praticamente impossibile aprirlo senza chiave, e in modo rapido e semplice con una chiave. Molte aziende e organizzazioni trovano molto difficile fare la scelta migliore durante l'installazione del software di crittografia. La questione è ulteriormente complicata dal fatto che non esistono computer assolutamente sicuri e sistemi di crittografia assolutamente affidabili. Tuttavia, ci sono ancora abbastanza modi per respingere quasi tutti i tentativi di rivelare informazioni crittografate.

I programmi di crittografia differiscono l'uno dall'altro nell'algoritmo di crittografia. Una volta che il file è crittografato, puoi scriverlo su un floppy disk, inviarlo via e-mail o metterlo su un server nel tuo rete locale. Il destinatario della tua crittografia deve avere lo stesso programma di crittografia per poter leggere il contenuto del file.

Se desideri inviare un messaggio crittografato a più utenti contemporaneamente, le tue informazioni per ciascun destinatario possono essere crittografate con la propria chiave o con una chiave condivisa per tutti gli utenti (incluso l'autore del messaggio).

Il crittosistema utilizza un codice segreto per trasformare le tue informazioni in un insieme di caratteri pseudo-casuale senza significato. Con un buon algoritmo di crittografia, è quasi impossibile decifrare un messaggio senza saperlo codice segreto utilizzato per la crittografia. Tali algoritmi sono chiamati algoritmi a chiave simmetrica perché la stessa chiave viene utilizzata per crittografare e decrittografare le informazioni.

Per proteggere i tuoi dati, il programma di crittografia crea una chiave segreta basata sulla tua password. Devi solo impostare una password lunga che nessuno può indovinare. Tuttavia, se vuoi che qualcun altro legga il file, dovrai comunicare a quella persona la chiave segreta (o la password su cui si basa). Puoi essere certo che anche un semplice algoritmo di crittografia proteggerà i tuoi dati da un utente normale, ad esempio da un collega di lavoro. Tuttavia, i professionisti hanno diversi modi per decrittografare un messaggio senza conoscere il codice segreto.

Senza una conoscenza speciale, non sarai in grado di verificare in modo indipendente quanto sia affidabile il tuo algoritmo di crittografia. Ma puoi fare affidamento sull'opinione di professionisti. Alcuni algoritmi di crittografia, come Triple DES (Data Encryption Standard) sono stati sottoposti a anni di test. Secondo i risultati del test, questo algoritmo si è dimostrato valido e i crittografi ritengono che ci si possa fidare. Anche la maggior parte dei nuovi algoritmi viene studiata attentamente ei risultati vengono pubblicati nella letteratura specializzata.

Se l'algoritmo del programma non è stato esaminato e discusso apertamente da professionisti, se non ha certificati e altri documenti ufficiali, questo è un motivo per dubitare della sua affidabilità e rifiutarsi di utilizzare un tale programma.

Un altro tipo di sistemi di crittografia sono i sistemi a chiave pubblica. Affinché un tale sistema funzioni, non è necessario comunicare al destinatario la chiave segreta (o la password in base alla quale è stata creata). Questi sistemi di crittografia generano due chiavi digitali per ciascun utente: una viene utilizzata per crittografare i dati, l'altra per decrittografarli. La prima chiave (chiamata chiave pubblica) può essere resa pubblica, mentre la seconda chiave è tenuta segreta. Dopodiché, chiunque può crittografare le informazioni utilizzando la chiave pubblica e solo coloro che dispongono della chiave segreta corrispondente possono decrittografarla.

Alcuni programmi di crittografia contengono un altro importante mezzo di protezione: una firma digitale. Una firma digitale certifica che il file non è stato modificato da quando è stato firmato e fornisce al destinatario informazioni su chi ha firmato esattamente il file. L'algoritmo per la creazione di una firma digitale si basa sul calcolo di un checksum, il cosiddetto hash sum, o message digest. Gli algoritmi applicati garantiscono che è impossibile abbinarne due file diverso, le cui somme hash corrisponderebbero.

Quando il destinatario riceve un file con firma digitale, il suo programma di crittografia ricalcola l'hash sum per quel file. Il destinatario utilizza quindi la chiave pubblica pubblicata dal mittente per recuperare la firma digitale. Se il risultato corrisponde al valore calcolato per il file, il destinatario può essere sicuro che il testo del messaggio non è stato modificato (se fosse successo, l'hash sum sarebbe stato diverso) e la firma appartiene a una persona che ha accesso alla chiave segreta del mittente.

La protezione di informazioni sensibili o riservate richiede molto di più buon programma crittografia. È necessario adottare una serie di misure per garantire la sicurezza delle informazioni. Se la tua password è debole (gli esperti consigliano di impostarla su otto o più caratteri) o se sul tuo computer è memorizzata una copia non crittografata di informazioni riservate, in questo caso anche miglior sistema la crittografia sarà impotente.

Il sistema Lexicon-Verba è un mezzo per organizzare la gestione elettronica sicura dei documenti sia all'interno della rete aziendale che tra diverse organizzazioni. Lexicon-Verba utilizza due modifiche del sistema di crittografia: il sistema Verba-W è destinato agli enti statali (protezione delle informazioni riservate, in particolare truciolare; le chiavi di firma sono aperte, le chiavi di crittografia sono chiuse), il sistema Verba-OW è per il commercio organizzazioni (protezione dei segreti commerciali; le chiavi di firma e crittografia sono aperte).

Esistono diversi standard di crittografia globali, ma solo una piccola parte di essi è certificata dall'Agenzia federale per le comunicazioni e le informazioni governative (FAPSI), il che rende impossibile l'utilizzo di soluzioni non certificate in Russia. Il sistema Verba-W dispone di un certificato FAPSI n. SF / 114-0176. Sistema Verba-OW - Certificato FAPSI n. SF / 114-0174.

"Lexicon-Verba" fornisce crittografia e firma digitale in conformità con i requisiti di GOST 28147-89 "Sistemi di elaborazione delle informazioni. Protezione crittografica” e GOST R34.10-94 “Tecnologia dell'informazione. Protezione crittografica delle informazioni. Procedure per lo sviluppo e la verifica di una firma digitale elettronica basata su un algoritmo crittografico asimmetrico.

Il programma è certificato dalla Commissione tecnica statale sotto il presidente della Federazione Russa. A luglio dovrebbe ricevere un certificato dal Ministero della Difesa russo.

La protezione crittografica del sistema si basa sul metodo di crittografia con chiave pubblica. Ogni chiave che identifica un utente è composta da due parti: una chiave pubblica e una chiave privata. La chiave pubblica è distribuita liberamente e viene utilizzata per crittografare le informazioni questo utente. Per decrittografare un documento, la persona che lo ha crittografato deve disporre della tua chiave pubblica e identificarti come avente accesso al documento durante la crittografia.

Per decifrare un documento, è necessario utilizzare la chiave privata. La chiave privata è composta da due parti, una delle quali è memorizzata su una smart card o memoria touch e l'altra è memorizzata sul disco rigido del computer. Pertanto, né la perdita di una smart card né l'accesso non autorizzato a un computer forniscono, ciascuno separatamente, la capacità di decrittografare i documenti.

Set di chiavi iniziale compreso informazioni complete sulle chiavi pubbliche e private dell'utente, viene creato in un luogo di lavoro sicuro appositamente attrezzato. Un floppy disk con informazioni chiave viene utilizzato solo nella fase di preparazione del posto di lavoro dell'utente.

Il sistema Lexicon-Verba può essere utilizzato nell'ambito di due sistemi principali per l'organizzazione di una gestione sicura dei documenti:

• come soluzione autonoma. Se l'organizzazione dispone di una rete locale, il sistema può essere installato non su tutti i computer, ma solo su quelli che richiedono di lavorare con documenti riservati. Ciò significa che all'interno della rete aziendale è presente una sottorete per lo scambio di informazioni classificate. Allo stesso tempo, i partecipanti alla parte chiusa del sistema possono scambiare documenti aperti con altri dipendenti;
• come parte del flusso di lavoro. Lexicon-Verba dispone di interfacce standard per il collegamento di funzioni esterne per l'apertura, il salvataggio, la chiusura e l'invio di documenti, il che semplifica l'integrazione di questo sistema nei sistemi di gestione dei documenti sia esistenti che di nuova concezione.

Va notato che le proprietà del sistema Lexicon-Verba lo rendono non solo un mezzo per fornire protezione delle informazioni contro intrusioni esterne, ma anche un mezzo per aumentare la riservatezza intra-aziendale e condividere l'accesso.

Una delle risorse aggiuntive importanti per aumentare il livello di controllo della sicurezza delle informazioni è la capacità di mantenere un "registro eventi" per qualsiasi documento. La funzione di correzione della cronologia dei documenti può essere abilitata o disabilitata solo quando il sistema è installato; quando è abilitato, questo registro verrà mantenuto indipendentemente dal desiderio dell'utente.

Il principale vantaggio e caratteristica distintiva del sistema è un'implementazione semplice ed intuitiva delle funzioni di sicurezza delle informazioni mantenendo l'ambiente di lavoro dell'utente, tradizionale per i word processor.

L'unità di crittografia esegue la crittografia, nonché l'installazione e la rimozione di una firma digitale elettronica (EDS) dei documenti.

Funzioni ausiliarie del blocco: download di una chiave segreta, esportazione e importazione di chiavi pubbliche, creazione e manutenzione di una directory di chiavi dell'abbonato del sistema.

Pertanto, ciascuno di coloro che hanno accesso al documento può apporre solo la propria firma, ma rimuovere qualsiasi di quelle precedentemente impostate.

Ciò riflette l'ordine di lavoro accettato, quando, una volta superata l'approvazione, il documento può essere soggetto a revisioni in fasi diverse, ma successivamente il documento deve essere nuovamente vidimato.

Se si tenta di apportare modifiche al documento con mezzi diversi da "Lexicon-Verba", l'EDS è danneggiato, di conseguenza, nel campo "Stato della firma" apparirà la scritta "Danneggiato".

Con l'aumento del numero di utenti del sistema, l'immissione di ciascuna chiave pubblica su ciascun computer diventa difficile. Pertanto, per organizzare il lavoro dell'ufficio, viene organizzata l'amministrazione centralizzata dell'elenco delle chiavi pubbliche. Questo viene fatto nel modo seguente:

1) "Lexicon-Verba" è installato sul computer dell'amministratore in modalità locale. Questo crea una directory di chiavi pubbliche, in cui l'amministratore aggiunge ogni chiave utilizzata in ufficio;

2) su tutti gli altri computer il sistema è installato in modalità rete. Questa modalità utilizza la directory della chiave pubblica situata sul computer dell'amministratore;

3) ciascuno Nuovo utente, aggiunto dall'amministratore alla directory, diventa "visibile" a tutti gli utenti collegati alla directory. Da quel momento in poi, hanno l'opportunità di trasferirgli documenti crittografati.

L'amministrazione delle directory diventa centralizzata, ma ciò non influisce sul livello di sicurezza del sistema, poiché fornire l'accesso alle chiavi pubbliche è una sorta di "conoscenza" degli utenti, ma non dà accesso a nessun documento. Affinché un utente possa decrittografare un documento, la sua chiave pubblica non solo deve trovarsi nella directory, ma deve anche essere esplicitamente indicata come avente accesso al documento.

I mezzi di protezione delle informazioni crittografiche (CIPF) includono hardware, software e hardware e Software, che implementano algoritmi crittografici per la conversione delle informazioni al fine di:

Protezione delle informazioni durante la loro elaborazione, conservazione e trasmissione attraverso l'ambiente di trasporto dell'UA;

Garantire l'affidabilità e l'integrità delle informazioni (compreso l'uso di algoritmi di firma digitale) durante la loro elaborazione, memorizzazione e trasmissione sul mezzo di trasporto AS;

Sviluppo di informazioni utilizzate per identificare e autenticare soggetti, utenti e dispositivi;

Sviluppo di informazioni utilizzate per proteggere gli elementi di autenticazione di un AS sicuro durante la loro generazione, archiviazione, elaborazione e trasmissione.

Si presume che gli strumenti di protezione delle informazioni crittografiche siano utilizzati in alcuni AS (in un certo numero di fonti - un sistema di informazione e telecomunicazione o una rete di comunicazione), insieme a meccanismi per implementare e garantire una politica di sicurezza.

La trasformazione crittografica ha una serie di caratteristiche significative:

Il CIPF implementa alcuni algoritmi di conversione delle informazioni (crittografia, firma digitale elettronica, controllo dell'integrità)

Gli argomenti di input e output della trasformazione crittografica sono presenti nell'AS in una forma materiale (oggetti AS)

CIPF utilizza alcune informazioni riservate (chiavi) per funzionare

L'algoritmo di trasformazione crittografica è implementato come un oggetto materiale che interagisce con l'ambiente (inclusi i soggetti e gli oggetti dell'AS protetto).

Pertanto, il ruolo del CIPF in un AS sicuro è la trasformazione degli oggetti. In ogni caso particolare, la trasformazione specificata ha delle caratteristiche. Pertanto, la procedura di crittografia utilizza una chiave oggetto - testo normale e una chiave oggetto - come parametri di input, il risultato della trasformazione è un oggetto - testo cifrato; al contrario, la procedura di decrittazione utilizza come input il testo cifrato e la chiave; la procedura di firma digitale utilizza l'oggetto - messaggio e l'oggetto - la chiave segreta della firma come parametri di input, il risultato della firma digitale è l'oggetto - la firma, di norma, integrata nell'oggetto - il messaggio. Possiamo dire che il CIPF protegge gli oggetti a livello semantico. Allo stesso tempo, oggetti - parametri di trasformazione crittografica sono oggetti AS a tutti gli effetti e possono essere oggetti di alcune politiche di sicurezza (ad esempio, le chiavi di crittografia possono e devono essere protette dall'accesso non autorizzato, le chiavi pubbliche per la verifica di una firma digitale dalle modifiche). Pertanto, i dispositivi di protezione delle informazioni crittografiche come parte di AS sicuri hanno un'implementazione specifica: può essere un dispositivo specializzato separato integrato in un computer o un programma specializzato. I seguenti punti sono essenziali:

CIPF scambia informazioni con l'ambiente esterno, vale a dire: le chiavi vengono inserite in esso, testo normale durante la crittografia

CIPF nel caso di utilizzi di implementazione hardware base dell'elemento affidabilità limitata (cioè, nelle parti che compongono il CIPF, sono possibili malfunzionamenti o guasti)

La CIPF in caso di implementazione del software viene eseguita su un processore di limitata affidabilità e in un ambiente software contenente programmi di terze parti che possono influenzare varie fasi del suo funzionamento

CIPF è memorizzato su un supporto tangibile (nel caso di implementazione software) e può essere distorto intenzionalmente o accidentalmente durante la conservazione

CIPF interagisce indirettamente con l'ambiente esterno (alimentato dalla rete, emette campi elettromagnetici)

CIPF è prodotto e/o utilizzato da una persona che può commettere errori (intenzionali o accidentali) durante lo sviluppo e il funzionamento

I mezzi esistenti di protezione dei dati nelle reti di telecomunicazione possono essere suddivisi in due gruppi secondo il principio della costruzione di un sistema di chiavi e di un sistema di autenticazione. Il primo gruppo include strumenti che utilizzano algoritmi crittografici simmetrici per costruire un sistema di chiavi e un sistema di autenticazione, e il secondo gruppo include quelli asimmetrici.

Eseguiamo un'analisi comparativa di questi sistemi. Un messaggio informativo pronto per la trasmissione, inizialmente aperto e non protetto, viene crittografato e quindi convertito in un cifrario, ovvero in un testo chiuso o in un'immagine grafica di un documento. In questa forma, il messaggio viene trasmesso su un canale di comunicazione, anche se non è sicuro. L'utente autorizzato, dopo aver ricevuto il messaggio, lo decripta (cioè lo rivela) mediante trasformazione inversa del crittogramma, per cui si ottiene la forma originale, aperta del messaggio, accessibile alla percezione degli utenti autorizzati. Il metodo di trasformazione in un sistema crittografico corrisponde all'uso di un algoritmo speciale. L'azione di un tale algoritmo è innescata da un numero univoco (sequenza di bit), solitamente chiamato chiave di crittografia.

Per la maggior parte dei sistemi, il circuito del generatore di chiavi può essere un insieme di istruzioni e comandi, un pezzo di hardware o programma per computer, o tutti questi insieme, ma in ogni caso, il processo di crittografia (decrittografia) è implementato solo da questa chiave speciale. Affinché lo scambio di dati crittografati abbia successo, sia il mittente che il destinatario devono conoscere l'impostazione corretta della chiave e mantenerla segreta. La forza di qualsiasi sistema di comunicazione chiuso è determinata dal grado di segretezza della chiave utilizzata in esso. Tuttavia, questa chiave deve essere nota agli altri utenti della rete in modo che possano scambiare messaggi crittografati liberamente. In questo senso, i sistemi crittografici aiutano anche a risolvere il problema dell'autenticazione (autenticazione) delle informazioni ricevute. Nel caso in cui un messaggio venga intercettato, un cracker tratterà solo del testo cifrato e il vero destinatario, accettando messaggi chiusi con una chiave a lui nota e al mittente, sarà protetto in modo affidabile da possibili disinformazioni. Inoltre, c'è la possibilità di crittografare informazioni e altro in modo semplice- utilizzando un generatore di numeri pseudo-casuali. L'uso di un generatore di numeri pseudocasuali consiste nel generare una gamma cifrata utilizzando un generatore di numeri pseudocasuali con una determinata chiave e applicare la gamma risultante agli open data in modo reversibile. Questo metodo di protezione crittografica è implementato abbastanza facilmente e fornisce una velocità di crittografia abbastanza elevata, ma non è sufficientemente resistente alla decrittazione.

La crittografia classica è caratterizzata dall'uso di un'unità segreta: la chiave, che consente al mittente di crittografare il messaggio e al destinatario di decrittografarlo. Nel caso di crittografia dei dati archiviati su supporti magnetici o di altro tipo, la chiave consente di crittografare le informazioni durante la scrittura sul supporto e di decrittografare durante la lettura da esso.

"Metodi organizzativi e legali di sicurezza delle informazioni"

I principali documenti di indirizzo normativo relativi al segreto di Stato, documenti normativi e di riferimento

Ad oggi, nel nostro Paese è stato creato un quadro legislativo stabile nel campo della protezione delle informazioni. La legge fondamentale può essere chiamata Legge federale della Federazione Russa "Sull'informazione, tecnologie dell'informazione e sulla protezione delle informazioni. "La regolamentazione statale delle relazioni nel campo della protezione delle informazioni viene effettuata stabilendo i requisiti per la protezione delle informazioni, nonché la responsabilità per la violazione della legislazione della Federazione Russa in materia di informazioni, tecnologie dell'informazione e protezione delle informazioni." La legge stabilisce anche gli obblighi dei proprietari delle informazioni e degli operatori dei sistemi informativi.

Per quanto riguarda la regolamentazione "codificata" della sicurezza delle informazioni, anche le norme del Codice degli illeciti amministrativi della Federazione Russa e del Codice penale della Federazione Russa contengono gli articoli necessari. Nell'art. 13.12 del Codice dei reati amministrativi della Federazione Russa si riferisce a una violazione delle regole per la protezione delle informazioni. Anche l'art. 13.13, che prevede la punizione per le attività illecite nel campo della protezione delle informazioni. E l'art. 13.14. che prevede la sanzione per la divulgazione di informazioni ad accesso limitato. Articolo 183. Il codice penale della Federazione Russa prevede la punizione per la ricezione e la divulgazione illegale di informazioni che costituiscono un segreto commerciale, fiscale o bancario.

La legge federale "Sull'informazione, l'informatizzazione e la protezione delle informazioni" stabilisce che le risorse informative statali della Federazione Russa sono aperte e pubblicamente disponibili. L'eccezione sono le informazioni documentate classificate per legge come ad accesso limitato.

Il concetto di segreto di Stato è definito nella legge "Sui segreti di Stato" come "informazioni protette dallo Stato nell'ambito delle sue attività militari, di politica estera, economiche, di intelligence, di controspionaggio e di ricerca operativa, la cui diffusione può nuocere al sicurezza della Federazione Russa". Pertanto, in base all'equilibrio degli interessi dello Stato, della società e dei cittadini, il campo di applicazione della Legge è limitato a determinati tipi di attività: militare, di politica estera, economica, di intelligence, di controspionaggio e di ricerca operativa.

La legge ha stabilito che il criterio principale è che le informazioni classificate appartengano allo stato.

La legge ha inoltre assicurato la creazione di una serie di organismi nel campo della protezione del segreto di Stato, in particolare una commissione interdipartimentale per la protezione dei segreti di Stato, ha introdotto l'istituzione di funzionari con il potere di classificare le informazioni come segreto di Stato, mentre al allo stesso tempo imponendo loro la responsabilità personale per le attività di protezione dei segreti di stato nella loro area di responsabilità.

L'organizzazione generale e il coordinamento del lavoro nel paese sulla protezione delle informazioni trattate con mezzi tecnici è svolto da un organo collegiale: il Servizio federale per il controllo tecnico e delle esportazioni (FSTEC) della Russia sotto il presidente della Federazione Russa, che esercita controllo sulla fornitura negli organi dell'amministrazione statale e nelle imprese che svolgono attività di difesa e altri argomenti segreti.

Scopo e compiti nel campo della sicurezza delle informazioni a livello statale

La politica statale di garantire la sicurezza delle informazioni della Federazione Russa determina le principali aree di attività delle autorità statali federali e delle autorità statali delle entità costituenti della Federazione Russa in questo settore, la procedura per fissare i loro doveri per proteggere gli interessi della Federazione Russa nella sfera dell'informazione nell'ambito delle loro attività e si basa sul mantenimento di un equilibrio di interessi dell'individuo, della società e dello Stato nella sfera dell'informazione. La politica statale per garantire la sicurezza delle informazioni della Federazione Russa si basa sui seguenti principi di base: osservanza della Costituzione della Federazione Russa, della legislazione della Federazione Russa, principi e norme generalmente riconosciuti del diritto internazionale nell'attuazione delle attività per garantire la sicurezza delle informazioni della Federazione Russa; apertura nell'attuazione delle funzioni delle autorità statali federali, delle autorità statali delle entità costituenti della Federazione Russa e delle associazioni pubbliche, che prevedono l'informazione del pubblico sulle loro attività, tenendo conto delle restrizioni stabilite dalla legislazione della Federazione Russa; uguaglianza giuridica di tutti i partecipanti al processo di interazione informativa, indipendentemente dal loro status politico, sociale ed economico, basata sul diritto costituzionale dei cittadini di ricercare, ricevere, trasmettere, produrre e diffondere liberamente informazioni in qualsiasi modo legale; sviluppo prioritario delle moderne tecnologie dell'informazione e delle telecomunicazioni nazionali, produzione di hardware e software in grado di garantire il miglioramento delle reti di telecomunicazioni nazionali, la loro connessione alle reti di informazione globali al fine di soddisfare gli interessi vitali della Federazione Russa.

Lo stato nel processo di attuazione delle sue funzioni per garantire la sicurezza delle informazioni della Federazione Russa: conduce un'analisi e una previsione obiettive e complete delle minacce alla sicurezza delle informazioni della Federazione Russa, sviluppa misure per garantirla; organizza il lavoro degli organi legislativi (rappresentativi) ed esecutivi del potere statale della Federazione Russa per attuare una serie di misure volte a prevenire, respingere e neutralizzare le minacce alla sicurezza delle informazioni della Federazione Russa; sostiene le attività delle associazioni pubbliche volte ad informare obiettivamente la popolazione sui fenomeni socialmente significativi della vita pubblica, salvaguardando la società da informazioni distorte e inattendibili; esercita il controllo sullo sviluppo, creazione, sviluppo, utilizzo, esportazione e importazione di strumenti per la sicurezza delle informazioni attraverso la loro certificazione e licenza di attività nel campo della sicurezza delle informazioni; persegue la necessaria politica protezionistica nei confronti dei produttori di strumenti di informatizzazione e protezione delle informazioni sul territorio della Federazione Russa e adotta misure per proteggere il mercato interno dalla penetrazione in esso di strumenti di informatizzazione e prodotti informativi di bassa qualità; contribuisce a fornire a persone fisiche e giuridiche l'accesso alle risorse informative mondiali, alle reti informative globali; formula e attua la politica di informazione statale della Russia; organizza lo sviluppo di un programma federale per garantire la sicurezza delle informazioni della Federazione Russa, che unisce gli sforzi di organizzazioni statali e non statali in questo settore; contribuisce all'internazionalizzazione delle reti e dei sistemi di informazione globali, nonché all'ingresso della Russia nella comunità mondiale dell'informazione a condizioni di parità di partenariato.

Il miglioramento dei meccanismi legali per la regolamentazione delle pubbliche relazioni che sorgono nella sfera dell'informazione è una direzione prioritaria della politica statale nel campo della garanzia della sicurezza delle informazioni della Federazione Russa.

Ciò comporta: valutare l'efficacia dell'applicazione degli atti legislativi e regolamentari esistenti nella sfera dell'informazione e sviluppare un programma per il loro miglioramento; creazione di meccanismi organizzativi e legali per garantire la sicurezza delle informazioni; determinare lo status giuridico di tutti i soggetti delle relazioni nella sfera dell'informazione, compresi gli utenti dei sistemi informatici e di telecomunicazione, e stabilire la loro responsabilità per il rispetto della legislazione della Federazione Russa in questo settore; creazione di un sistema per la raccolta e l'analisi dei dati sulle fonti delle minacce alla sicurezza delle informazioni della Federazione Russa, nonché sulle conseguenze della loro attuazione; sviluppo di atti normativi che determinino l'organizzazione dell'indagine e la procedura di contenzioso sui fatti di azioni illecite nella sfera dell'informazione, nonché la procedura per eliminare le conseguenze di tali azioni illecite; sviluppo di reati tenendo conto delle specificità della responsabilità penale, civile, amministrativa, disciplinare e dell'inclusione delle norme legali pertinenti nei codici penale, civile, amministrativo e del lavoro, nella legislazione della Federazione Russa sul servizio pubblico; miglioramento del sistema di formazione del personale utilizzato nel campo della sicurezza delle informazioni della Federazione Russa.

Il supporto legale della sicurezza delle informazioni della Federazione Russa dovrebbe basarsi, in primo luogo, sull'osservanza dei principi di legalità, sull'equilibrio degli interessi dei cittadini, della società e dello Stato nella sfera dell'informazione. Il rispetto del principio di legalità richiede che gli organi del governo federale e gli organi governativi delle entità costituenti della Federazione Russa, nella risoluzione dei conflitti che sorgono nella sfera dell'informazione, siano rigorosamente guidati da atti legislativi e regolamentari che regolano le relazioni in questo settore. Il rispetto del principio dell'equilibrio degli interessi dei cittadini, della società e dello Stato nella sfera dell'informazione implica il consolidamento legislativo della priorità di tali interessi in vari ambiti della vita della società, nonché il ricorso a forme di controllo pubblico sulle attività delle autorità statali federali e delle autorità statali delle entità costitutive della Federazione Russa. L'attuazione delle garanzie dei diritti e delle libertà costituzionali di una persona e di un cittadino relative alle attività nella sfera dell'informazione è il compito più importante dello stato nel campo della sicurezza dell'informazione. Lo sviluppo di meccanismi per il supporto legale della sicurezza delle informazioni della Federazione Russa include misure per l'informatizzazione sfera giuridica in genere. Al fine di identificare e coordinare gli interessi delle autorità statali federali, delle autorità statali delle entità costituenti della Federazione Russa e di altri soggetti di relazioni nella sfera dell'informazione, per sviluppare le decisioni necessarie, lo stato sostiene la formazione di consigli pubblici, comitati e commissiona un'ampia rappresentanza di associazioni pubbliche e promuove l'organizzazione del loro effettivo lavoro.

Caratteristiche della certificazione e standardizzazione dei servizi crittografici

In quasi tutti i paesi che hanno sviluppato tecnologie crittografiche, lo sviluppo di strumenti di protezione delle informazioni crittografiche appartiene alla sfera della regolamentazione statale. La regolamentazione statale include, di norma, la licenza di attività relative allo sviluppo e al funzionamento di strumenti crittografici, la certificazione degli strumenti di protezione delle informazioni crittografiche e la standardizzazione degli algoritmi di trasformazione crittografica.

Sono soggette a licenza le seguenti tipologie di attività: sviluppo, produzione, prove di certificazione, vendita, esercizio di strumenti di crittografia atti alla protezione crittografica di informazioni contenenti informazioni costituenti un segreto di stato o altro protetto dalla legge, durante la loro elaborazione, conservazione e trasmissione mediante comunicazione canali, nonché fornitura di servizi nel campo della crittografia di queste informazioni; sviluppo, produzione, test di certificazione, funzionamento di sistemi e complessi di telecomunicazioni delle massime autorità statali della Federazione Russa; sviluppo, produzione, test di certificazione, implementazione, funzionamento di sistemi chiusi e complessi di telecomunicazioni delle autorità delle entità costituenti della Federazione Russa, delle autorità esecutive federali centrali, delle organizzazioni, delle imprese, delle banche e di altre istituzioni situate sul territorio della Federazione Russa, indipendentemente dalla loro appartenenza dipartimentale e dalle forme di proprietà (di seguito - sistemi chiusi e complessi di telecomunicazioni) destinati alla trasmissione di informazioni costituenti uno stato o altro segreto protetto dalla legge; svolgimento di prove di certificazione, implementazione e funzionamento di mezzi di cifratura, sistemi chiusi e complessi di telecomunicazioni atti al trattamento di informazioni che non contengono informazioni costituenti un segreto di Stato o altro segreto protetto dalla legge, durante la loro elaborazione, conservazione e trasmissione attraverso canali di comunicazione, nonché la fornitura di servizi nel campo della crittografia di queste informazioni

Gli strumenti di crittografia includono: strumenti hardware, software e hardware-software che implementano algoritmi crittografici per convertire le informazioni, garantendo la sicurezza delle informazioni durante l'elaborazione, l'archiviazione e la trasmissione sui canali di comunicazione, inclusa la tecnologia di crittografia; hardware, software e mezzi hardware-software di protezione contro l'accesso non autorizzato alle informazioni durante la loro elaborazione e memorizzazione che implementano algoritmi crittografici per la conversione delle informazioni; hardware, software e mezzi hardware-software di protezione contro l'imposizione di informazioni false, compresi mezzi di protezione dall'imitazione e "firma digitale" che implementano algoritmi crittografici per la conversione di informazioni; hardware, hardware-software e software per la produzione di documenti chiave per strumenti di crittografia, indipendentemente dal tipo di supporto informatico.

I sistemi e i complessi di telecomunicazioni chiusi includono sistemi e complessi di telecomunicazioni in cui le informazioni sono protette mediante strumenti di crittografia, apparecchiature sicure e misure organizzative.

Sono inoltre soggette a licenza le seguenti tipologie di attività: gestione di strumenti di cifratura e/o di firma digitale, nonché strumenti di cifratura per la protezione dei pagamenti elettronici mediante carte di credito plastico e smart card; fornitura di servizi per la protezione (crittografia) di informazioni; installazione, installazione, regolazione di strumenti di crittografia e/o strumenti di firma digitale, strumenti di crittografia per la protezione di pagamenti elettronici mediante carte di credito in plastica e smart card; sviluppo di strumenti di cifratura e/o di firma digitale, strumenti di cifratura per la protezione dei pagamenti elettronici mediante carte di credito in plastica e smart card

La procedura per la certificazione del CIPF è stabilita dal "Sistema di certificazione per la protezione delle informazioni crittografiche ROSS.R11.0001.030001 dello standard statale della Russia.

La standardizzazione degli algoritmi di trasformazione crittografica include la ricerca e la pubblicazione complete sotto forma di standard di elementi di procedure crittografiche al fine di utilizzare trasformazioni crittograficamente sicure da parte degli sviluppatori CIPF, per garantire la possibilità di operazioni congiunte di vari CIPF, nonché la possibilità di testare e verificare la conformità dell'implementazione CIPF con l'algoritmo specificato dalla norma. In Russia sono stati adottati i seguenti standard: algoritmo di conversione crittografica 28147-89, algoritmi per l'hashing, l'impostazione e la verifica di una firma digitale R34.10.94 e R34.11.94. Dagli standard stranieri, gli algoritmi di crittografia DES, RC2, RC4, gli algoritmi di hashing MD2, MD4 e MD5, gli algoritmi di verifica della firma digitale DSS e RSA sono ampiamente conosciuti e utilizzati.

Quadro legislativo per la sicurezza delle informazioni

I concetti di base, i requisiti, i metodi e gli strumenti per la progettazione e la valutazione di un sistema di sicurezza delle informazioni per i sistemi informativi (SI) si riflettono nei seguenti documenti fondamentali:

"Orange Book" del National Computer Protection Center

"Criteri armonizzati dei paesi europei (ITSEC)";

Il concetto di protezione contro l'accesso non autorizzato della Commissione di Stato sotto il Presidente della Federazione Russa.

Concetto di sicurezza delle informazioni

Il concetto di sicurezza di un sistema in fase di sviluppo è "un insieme di leggi, regole e norme di comportamento che determinano come un'organizzazione elabora, protegge e distribuisce le informazioni. In particolare, le regole determinano in quali casi l'utente ha il diritto di operare con determinati set di dati. Più è affidabile il sistema, più rigoroso e il concetto di sicurezza dovrebbe essere più diversificato. A seconda del concetto formulato, è possibile scegliere meccanismi specifici che garantiscano la sicurezza del sistema. Il concetto di sicurezza è un componente attivo di protezione, compresa un'analisi delle possibili minacce e la scelta delle contromisure."

Il concetto di sicurezza del sistema sviluppato secondo il "Libro arancione" dovrebbe includere i seguenti elementi:

Controllo arbitrario degli accessi;

Sicurezza del riutilizzo degli oggetti;

Etichette di sicurezza;

Controllo degli accessi forzati.

Considera il contenuto degli elementi elencati.

Il controllo di accesso arbitrario è un metodo per limitare l'accesso agli oggetti in base all'identità del soggetto o del gruppo a cui appartiene il soggetto. L'arbitrarietà del controllo consiste nel fatto che una persona (solitamente il proprietario dell'oggetto) può, a propria discrezione, cedere o togliere diritti di accesso all'oggetto ad altri soggetti.

Il principale vantaggio del controllo arbitrario dell'accesso è la flessibilità, i principali svantaggi sono la dispersione della gestione e la complessità del controllo centralizzato, nonché l'isolamento dei diritti di accesso dai dati, che consente di copiare informazioni segrete in file pubblici.

La sicurezza del riutilizzo degli oggetti è un'aggiunta importante ai controlli di accesso nella pratica, proteggendo dall'estrazione accidentale o deliberata di informazioni segrete da "spazzatura". La sicurezza del riutilizzo deve essere garantita per le aree memoria ad accesso casuale(in particolare per buffer con immagini dello schermo, password decifrate, ecc.), per blocchi disco e supporti magnetici in genere.

Le etichette di sicurezza sono associate a soggetti e oggetti per imporre il controllo dell'accesso. L'etichetta del soggetto descrive la sua affidabilità, l'etichetta dell'oggetto - il grado di vicinanza delle informazioni in esso contenute. Secondo l'Orange Book, le etichette di sicurezza sono composte da due parti: un livello di sicurezza e un elenco di categorie. Il problema principale che deve essere affrontato in relazione alle etichette è garantirne l'integrità. In primo luogo, non devono esserci soggetti e oggetti non etichettati, altrimenti ci saranno falle facilmente sfruttabili nella sicurezza etichettata. In secondo luogo, per qualsiasi operazione con i dati, le etichette devono rimanere corrette. Uno dei mezzi per garantire l'integrità delle etichette di sicurezza è la divisione dei dispositivi in ​​dispositivi multilivello e a livello singolo. I dispositivi multilivello possono memorizzare informazioni di diversi livelli di segretezza (più precisamente, che si trovano in un determinato intervallo di livelli). Un dispositivo a livello singolo può essere considerato un caso degenerato di un dispositivo a più livelli, quando l'intervallo consentito è costituito da un unico livello. Conoscendo il livello del dispositivo, il sistema può decidere se è consentito scrivervi informazioni con una determinata etichetta.

Il controllo dell'accesso forzato si basa sulla corrispondenza delle etichette di sicurezza dell'oggetto e dell'oggetto. Questo metodo di controllo degli accessi è chiamato forzato, perché non dipende dalla volontà dei soggetti (anche amministratori di sistema). Il controllo di accesso forzato è implementato in molte varianti sistemi operativi e DBMS, caratterizzati da maggiori misure di sicurezza.

Strumenti crittografici - si tratta di mezzi matematici e algoritmici speciali per proteggere le informazioni trasmesse su sistemi e reti di comunicazione, archiviate ed elaborate su un computer utilizzando vari metodi di crittografia.
Protezione delle informazioni tecniche attraverso la sua trasformazione, escludendo la sua lettura da parte di estranei, ha preoccupato una persona fin dall'antichità. La crittografia deve fornire un tale livello di segretezza che sia possibile proteggere in modo affidabile le informazioni critiche dalla decrittazione da parte di grandi organizzazioni, come la mafia, le società transnazionali e i grandi stati. La crittografia in passato era usata solo per scopi militari. Tuttavia, ora, con l'ascesa della società dell'informazione, sta diventando uno strumento per la privacy, la fiducia, l'autorizzazione, i pagamenti elettronici, la sicurezza aziendale e innumerevoli altre cose importanti. Perché il problema dell'utilizzo dei metodi crittografici è diventato particolarmente rilevante in questo momento?
Da un lato, l'uso di reti di computer, in particolare Internet globale, attraverso il quale vengono trasmesse grandi quantità di informazioni di natura statale, militare, commerciale e privata, che non consentono l'accesso ad esse da parte di persone non autorizzate.
D'altra parte, l'emergere di nuovi potenti computer, reti e tecnologie di calcolo neurale ha permesso di screditare i sistemi crittografici, che fino a poco tempo erano considerati praticamente sconosciuti.
Il problema della protezione delle informazioni trasformandole è affrontato dalla crittografia (kryptos - segreto, logos - scienza). La crittografia è divisa in due aree: crittografia e crittoanalisi. Gli obiettivi di queste direzioni sono direttamente opposti.
La crittografia è impegnata nella ricerca e nello studio di metodi matematici per trasformare le informazioni.
La sfera di interesse della crittoanalisi è lo studio della possibilità di decifrare le informazioni senza conoscerne le chiavi.
La crittografia moderna comprende 4 sezioni principali.

· Crittosistemi simmetrici.

Crittosistemi a chiave pubblica.

· Sistemi di firma elettronica.

· Gestione delle chiavi.

Le direzioni principali dell'utilizzo dei metodi crittografici sono il trasferimento di informazioni riservate sui canali di comunicazione (ad esempio, E-mail), autenticazione dei messaggi trasmessi, memorizzazione di informazioni (documenti, banche dati) su supporti in forma crittografata.

Terminologia.
La crittografia permette di trasformare le informazioni in modo tale che la loro lettura (ripristino) sia possibile solo se la chiave è nota.
Come informazioni da crittografare e decifrare, verranno presi in considerazione i testi costruiti su un determinato alfabeto. Questi termini significano quanto segue.
Alfabeto- un insieme finito di segni utilizzati per codificare le informazioni.
Testo- un insieme ordinato di elementi dell'alfabeto.
Crittografia- processo trasformativo: il testo originale, che viene anche chiamato testo in chiaro, è sostituito da testo cifrato.
Decrittazione- processo di crittografia inversa. In base alla chiave, il testo cifrato viene convertito nell'originale.
Chiave- informazioni necessarie per la cifratura e la decrittazione fluida dei testi.
Un sistema crittografico è una famiglia di trasformazioni di testo in chiaro T [T1, T2, ..., Tk]. I membri di questa famiglia sono indicizzati o indicati dal simbolo "k"; il parametro k è la chiave. Lo spazio chiave K è l'insieme dei possibili valori chiave. Di solito la chiave è una serie consecutiva di lettere dell'alfabeto.
I crittosistemi sono divisi in chiave simmetrica e pubblica.
Nei crittosistemi simmetrici, la stessa chiave viene utilizzata sia per la crittografia che per la decrittografia.
I sistemi a chiave pubblica utilizzano due chiavi, pubblica e privata, che sono matematicamente correlate tra loro. Le informazioni vengono crittografate utilizzando una chiave pubblica, disponibile a tutti, e decrittografate utilizzando una chiave privata, nota solo al destinatario del messaggio.
I termini distribuzione delle chiavi e gestione delle chiavi si riferiscono ai processi di un sistema di elaborazione delle informazioni il cui contenuto è la compilazione e la distribuzione delle chiavi agli utenti.
Una firma elettronica (digitale) è una trasformazione crittografica allegata al testo, che consente, quando un altro utente riceve il testo, di verificare la paternità e l'autenticità del messaggio.
Resistenza alle criptovaluteè una caratteristica di un cifrario che determina la sua resistenza alla decrittazione senza conoscere la chiave (es. crittoanalisi).
L'efficacia della crittografia per proteggere le informazioni dipende dal mantenimento del segreto della chiave e dalla forza crittografica del codice.
Il criterio più semplice per tale efficienza è la probabilità di rivelare una chiave o la cardinalità di un insieme di chiavi (M). In sostanza, questo è lo stesso della forza crittografica. Per la sua valutazione numerica, si può anche utilizzare la complessità di decifrare la cifra mediante l'enumerazione di tutte le chiavi.
Tuttavia, questo criterio non tiene conto di altri importanti requisiti per i crittosistemi:

Impossibilità di divulgazione o modifica significativa delle informazioni sulla base dell'analisi della sua struttura;

il perfezionamento dei protocolli di sicurezza utilizzati;

la quantità minima di informazioni chiave utilizzate;

complessità minima di implementazione (nel numero di operazioni della macchina), il suo costo;

alta efficienza.

Spesso più efficace nella selezione e valutazione di un sistema crittografico è l'uso del giudizio e della simulazione di esperti.
In ogni caso, l'insieme selezionato di metodi crittografici dovrebbe combinare comodità, flessibilità ed efficienza d'uso, nonché una protezione affidabile contro gli intrusi delle informazioni che circolano nell'IS.

Tale divisione degli strumenti di sicurezza delle informazioni ( protezione tecnica delle informazioni), piuttosto condizionatamente, poiché in pratica molto spesso interagiscono e sono implementati in un complesso sotto forma di moduli software e hardware con un ampio uso di algoritmi di chiusura delle informazioni.

Conclusione

In questo tesina, ho esaminato la rete locale dell'Amministrazione e ho concluso che per proteggere completamente le informazioni è necessario applicare tutti i mezzi di protezione al fine di ridurre al minimo la perdita di questa o quella informazione.

Come risultato del lavoro svolto: informatizzazione dei luoghi di lavoro con la loro integrazione in una rete locale, con presenza di un server e accesso a Internet. L'esecuzione di questo lavoro garantirà il lavoro più rapido e produttivo del personale di lavoro.

I compiti che erano stati fissati al momento della ricezione dell'incarico, a mio avviso, sono stati raggiunti. Lo schema della rete locale dell'Amministrazione è riportato in Appendice B.

Bibliografia.

1. GOST R 54101-2010 “Mezzi di automazione e sistemi di controllo. Mezzi e sistemi di sicurezza. Manutenzione e riparazione in corso»

2. Protezione organizzativa delle informazioni: tutorial per le università Averchenkov V.I., Rytov M.Yu. 2011

3. Khalyapin DB, Yarochkin V.I. Fondamenti di sicurezza delle informazioni.-M.: IPKIR, 1994

4. Khoroshko VA, Chekatkov AA Metodi e mezzi di protezione delle informazioni (a cura di Kovtanyuk) K .: Junior Publishing House, 2003-504s.

5. Hardware e reti informatiche Ilyuchin B.V. 2005

6. Yarochkin VI Sicurezza delle informazioni: un libro di testo per studenti universitari.-M.: Progetto accademico!?! Fondo "Mir", 2003.-640.

7. http://habrahabr.ru

8. http://www.intel.com/ru/update/contents/st08031.htm

9. http://securitypolicy.ru

10. http://network.xsp.ru/5_6.php

Nota A.

Nota B.