Значение  информации и её защиты

Роль  информации в современном  мире

Современный мир  характеризуется такой интересной тенденцией, как постоянное повышение  роли информации. Как известно, все  производственные процессы имеют в  своём составе материальную и  нематериальную составляющие. Первая – это необходимое для производства оборудование, материалы и энергия в нужной форме (то есть, чем и из чего изготавливается предмет). Вторая составляющая – технология производства (то есть, как он изготавливается). Вспомнив в общих чертах историю развития производительных сил на Земле, каждый читатель увидит, что роль (и, соответственно, стоимость) информационной компоненты в любом производстве с течением времени возрастает.

В последнее  столетие появилось много таких  отраслей производства, которые почти на 100% состоят из одной информации, например, дизайн, создание программного обеспечения, реклама и другие.

Соответственно, и себестоимость товара складывается из стоимости материала, энергии  и рабочей силы с одной стороны  и стоимости технологии, с другой. Доля НИОКР в цене товара в наше время может достигать 50% и более, несмотря на то, что материальные затраты индивидуальны для каждой единицы продукции, а затраты на технологию – общие, то есть, раскладываются поровну на всю серию товара. Появился даже принципиально новый вид товара, в котором доля индивидуальных затрат сведена почти до нуля. Это программное обеспечение (ПО), при производстве которого все затраты делаются на создание первого образца, а дальнейшее его тиражирование не стоит ничего.

Столь же ярко демонстрирует  повышение роли информации в производственных процессах появление в XX веке такого занятия, как промышленный шпионаж. Не материальные ценности, а чистая информация становится объектом похищения.

В прошлые века человек использовал орудия труда и машины для обработки материальных объектов, а информацию о процессе производства держал в голове. В XX столетии появились машины для обработки информации – компьютеры, роль которых все повышается.

Указанные тенденции  однозначно свидетельствуют, что начинающийся XXI век станет информационным веком, в котором материальная составляющая отойдёт на второй план.

Значение  защиты

С повышением значимости и ценности информации соответственно растёт и важность её защиты.

С одной стороны, информация стоит денег. Значит утечка или утрата информации повлечёт материальный ущерб. С другой стороны, информация – это управление. Несанкционированное вмешательство в управление может привести к катастрофическим последствиям в объекте управления – производстве, транспорте, военном деле. Например, современная военная наука утверждает, что полное лишение средств связи сводит боеспособность армии до нуля.

Защиту информации (ЗИ) в рамках настоящего курса определим  так: меры для ограничения доступа к информации для каких-либо лиц (категорий лиц), а также для удостоверения подлинности и неизменности информации.

Вторая задача может показаться слабо связанной  с первой, но на самом деле это  не так. В первом случае владелец информации стремится воспрепятствовать несанкционированному доступу к ней, а во втором случае – несанкционированному изменению, в то время как доступ для чтения разрешён. Как мы позже увидим, решаются эти задачи одними и теми же средствами.

Аспекты защиты

Во-первых, хорошая  защита информации обходится дорого. Плохая же защита никому не нужна, ибо наличие в ней лишь одной "дырки" означает полную бесполезность всей защиты в целом (принцип сплошной защиты). Поэтому прежде чем решать вопрос о защите информации, следует определить, стоит ли она того. Способен ли возможный ущерб от разглашения или потери информации превысить затраты на её защиту? С этой же целью надо максимально сузить круг защищаемой информации, чтобы не тратить лишних денег и времени.

Во-вторых, прежде чем защищать информацию, нелишне определить перечень вероятных угроз, поскольку от всего на свете вы всё равно не защититесь. Возможен вариант, когда вам надо обезопасить данные от несанкционированного доступа извне, например, из Интернета. Возможно, однако, что чужих хакеров ваши данные вовсе не интересуют, и вам следует защищать информацию только от собственных сотрудников. Возможно также, что похищение или разглашение вашей информации никому не навредит, но вот её подмена может нанести вам урон. Во всех трёх случаях методы защиты будут сильно различаться.

В-третьих, при  планировании схемы ЗИ большое значение имеет не только её объективная надёжность, но и отношение к защите других людей. В некоторых случаях достаточно, чтобы вы сами были уверены в достаточной  надёжности защиты. А в других – это нужно доказать иным людям (например, заказчикам), часто не разбирающимся в соответствующих вопросах. Здесь встаёт вопрос сертификации, о котором мы поговорим позже.

Анализ  схем защиты

Все вышеуказанные  аспекты анализируются до начала мероприятий по ЗИ. В противном случае вы рискуете впустую затратить силы и средства. В разделе 7 будет дана подробная схема, по которой проводится анализ планируемой схемы ЗИ.

Заметим, что  в большинстве практических случаев, с которыми автору пришлось иметь  дело, такой анализ показывал, что защита или не требуется вовсе, или нужны лишь чисто номинальные, "показушные" мероприятия.

Простейшие  практические меры защиты информации

 

 

Как работать с паролями

Как было уже  сказано, слабейшим звеном всякой системы  защиты является человек. Даже в самой надёжной криптосистеме можно подобрать пароль, если пользователь выбрал его неаккуратно. Ниже приведены правила выбора паролей и обращения с ними. Несоблюдение их может свести на нет всю сложную систему защиты.

1.

Пароль не должен быть значимым словом или сочетанием слов какого-либо языка. Словари всех языков давно составлены вместе со всеми возможными формами слов. Распространённые системы подбора паролей начинают перебор, используя словарь, в котором слова расставлены по частоте их употребления. Например, у вас длина пароля до 12 символов. Противник начинает взламывать вашу защиту, перебирая пароль со скоростью 10 000 вариантов в секунду (средний компьютер). Если в качестве пароля выбрано случайное сочетание символов (цифр и латинских букв разного регистра), то возможных вариантов примерно 12⁶², и перебор вариантов займёт  

Возраст вселенной  существенно меньше этого срока. Но если вы для более лёгкого запоминания поставили в качестве пароля осмысленное слово, то количество вариантов резко сокращается. В языке примерно 100 000 слов, вместе два языка дадут 200 000, с учётом всех возможных форм и кодировок пусть 10⁶. Такое число будет перебрано за 

Несколько выше ваши шансы, если использовалась пара слов. Сочетаний из двух слов – 10¹². Перебор займёт 10⁸ с – около 3 лет. Однако стоит противнику применить компьютер помощнее, как время полного перебора вновь упадёт до нескольких минут. Если же ваше сочетание слов сколь-нибудь осмысленно, то задачка упрощается на несколько порядков.

2.

Не записывайте  свой пароль в файле или на бумажке. Это приведёт к тому, что пароль не только станет известен тому, кто захочет его узнать, но и вы не будете подозревать, что пароль скомпрометирован. Когда вы не рискуете положиться на свою память, пароль записывается в специальный журнал паролей, который опечатывается и хранится в сейфе или в другом месте, исключающем доступ посторонних.

3.

Не используйте  один пароль для нескольких целей. Предположим, что вы придумали и ухитрились запомнить хороший пароль. И вы ставите его на свой аккаунт в локальной сети, на свой почтовый ящик, аккаунт в системе баннерного обмена, электронный кошелёк, шифруете им свои архивы и т.д. У всех этих систем разная степень стойкости. Грамотному хакеру не составит большого труда перехватить ваш пароль на почтовый ящик. После этого, если не полный лентяй, он попробует его ко всем вашим аккаунтам и, конечно, будет прав. Чтобы избежать такой "цепной реакции", придётся вам напрячь память и запомнить несколько паролей. Надо заметить, что не везде нужны пароли длинные и стойкие. Где-то возможно применение и простых, если информация не представляет особой ценности.

4.

При наборе пароля, хотя он, как правило, на экране не отображается, следует всё же избегать чужих  глаз. Будет очень полезно, если вы заведёте в коллективе такой порядок, что когда кто-то набирает свой пароль, остальные, как истинные джентльмены, отворачиваются, независимо от того, видно им или нет.

Шифрованные архивы

Программы-архиваторы, как правило, имеют опцию шифровки. Ею можно пользоваться для не слишком важной информации. Во-первых, используемые там методы шифровки не слишком надёжны (подчиняются официальным экспортным ограничениям), во-вторых, детально не описаны. Всё это не позволяет всерьёз рассчитывать на такую защиту. Архивы с паролем можно использовать только "для чайников".

На некоторых  сайтах в Интернете вы можете найти "ломалки" для зашифрованных  архивов. Например, архив ZIP взламывается на хорошем компьютере за несколько  минут, при этом от пользователя не требуется никакой особой квалификации.

Дополнительная  информация

Ultra Zip Password Cracker 1.00 [32 кб] - Быстродействующая программа для подбора паролей к зашифрованным архивам. Русский/английский интерфейс. Win'95/98/NT. (Разработчик – "m53group")

Advanced ZIP Password Recovery 2.2[606 кб] - Мощная программа для подбора паролей к ZIP-архивам. Высокая скорость работы, графический интерфейс, дополнительные функции. ОС: Windows 95/98/NT. "Elcom Ltd.", shareware.

Шифровка  в Word и Excel

Фирма Майкрософт включила в свои продукты некоторое  подобие криптозащиты. Но это весьма законопослушная фирма, которая  чётко соблюдает все экспортные ограничения США, да ещё и перестраховывается. Это не позволяет надеяться на стойкость такой защиты. К тому же, алгоритм шифровки не описан, что, как было показано выше, является показателем ненадёжности.

Кроме того, имеются  данные, что Майкрософт оставляет  в используемых криптоалгоритмах «чёрный  ход». Если вам очень нужно расшифровать файл, пароль к которому утрачен (или враг не хочет говорить), можно обратиться в фирму. По официальному запросу, при достаточных основаниях они проводят расшифровку файлов Word и Excel. Так, кстати, поступают и некоторые другие производители ПО.

6.4. Шифрованные диски  (каталоги)

Шифровка –  достаточно надёжный метод защиты информации на вашем жёстком диске. Однако если количество закрываемой информации не исчерпывается двумя-тремя файлами, то вам будет несколько сложно с ней работать: каждый раз нужно будет файлы расшифровывать, а после редактирования – зашифровывать обратно. При этом на диске могут остаться страховочные копии файлов, которые создают многие редакторы.

Поэтому удобно использовать специальные программы (драйверы), которые автоматически зашифровывают и расшифровывают всю информацию при записи её на диск и чтении с диска.

Меры  организационного характера

Обязательные

• Познакомить всех сотрудников с принципами ЗИ и принципами работы средств хранения и обработки информации. Представляя  себе хотя бы на качественном уровне, что происходит при тех или иных операциях, сотрудник избежит явных ошибок.
• Чётко классифицировать всю информацию по степени её закрытости и ввести правила обращения с документами ограниченного распространения.
• Обязать сотрудников исполнять требования по ЗИ, подкрепив это соответствующими организационными и дисциплинарными мерами.

Желательные

• Заставить всех сотрудников изучить современные  средства ЗИ и сдать по ним зачёт.
• Иметь в штате специалиста, профессионально разбирающегося в проблемах ЗИ.
• Не использовать в работе ПО, в отношении которого не имеется чёткой уверенности, что оно не совершает несанкционированных действий с обрабатываемой информацией, таких, например, как самовольное создание копий, сбор информации о компьютере, отсылка по Интеренету сведений изготовителю ПО. Особенно подобным поведением "грешат" программные продукты фирмы "Майкрософт".
• Поставив себя на место вероятного противника (конкурента), подумать, что он мог бы предпринять для получения несанкционированного доступа к вашей информации. Продумать ответные меры защиты.
• Приобрести сертифицированные средства ЗИ.
• Запретить сотрудникам (кроме уполномоченных специалистов) инсталлировать какое-либо новое ПО. При получении любых исполняемых файлов по электроной почте стирать их, не разбираясь.

Дополнительные

• Разработать комплексную стратегию защиты информации на вашем предприятии. Лучше поручить такую задачу сторонним специалистам.
• Провести "испытание" имеющихся у вас средств ЗИ, поручив стороннему специалисту испробовать на прочность вашу защиту.

Дополнительная  информация

Donald Dick [client/server spy] – образец троянской программы. Donald Dick – система удаленного управления компьютерами с Windows-95, -98 или NT 4.0. Будучи установлен на компьютер, позволяет без согласия и ведома пользователя дистанционно управлять практически всеми его ресурсами.