Программная и аппаратная защита компьютера

              Отрицательными сторонами аппаратных (электронных) ключей является:

1. Возможная несовместимость с программным обеспечением или аппаратурой пользователя;

2. Затруднение разработки и отладки программного обеспечения;

3. Повышение системных требований для защищаемого программного обеспечения;

4. Угроза кражи;

5. Невозможность использования защищённого ПО в портативных компьютерах;

6. Затраты на приобретение;

7. Несовместимость с аппаратными ключами других фирм;

8. Снижение отказоустойчивости программного обеспечения;

              Следует заметить, что достаточно часто возникают конфликты ключа со стандартными устройствами, подключаемыми к портам компьютера, особенно это касается подключения к LPT и COM. Теоретически возможен случай, когда ключ получает данные, не предназначенные ему, и интерпретирует их как команду на чтение/запись FLASH-памяти, что может привести к порче хранимой информации или нарушению протокола обмена с другим устройством, подключенным к тому же порту компьютера. Кроме того, возможны угрозы перегрузки трафика при конфликтах с сетевым программным или аппаратным обеспечением.

2.       "Ключевые диски"

              В настоящий момент этот вариант защиты программного обеспечения мало распространён в связи с его устареванием. Единственным его отличием от электронных ключей является то, что критическая информация содержится на ключевом носителе. Слабой стороной данного варианта является возможность перехвата считывания критической информации и незаконное копирование ключевого носителя.

3.       СМАРТ-карты

              В последнее время в качестве электронного ключа широко распространились СМАРТ-карты. Носителем информации в них является микросхема.

Условно их можно разделить на:

а)микропроцессорные,

б)карты с памятью,

в)криптографические (поддержка алгоритмов DES, RSA и других) карты.

              Карты с памятью или memory cards являются самыми простейшими из класса СМАРТ-карт. Объем их памяти составляет величину от 32 байт до 16 килобайт. Такие карты делятся на два типа: с защищенной и незащищенной (полный доступ) памятью. Уровень защиты карт памяти выше, поэтому они могут быть использованы в прикладных системах небольших финансовых оборотов.

              Карты с микропроцессором или CPU cards представляют собой микрокомпьютеры и содержат все соответствующие основные компоненты. Часть данных операционной системы микропроцессорной карты доступна только её внутренним программам. Также она содержит встроенные криптографические средства. За счёт всего перечисленного подобная карта достаточно защищёна и может быть использована в финансовых приложениях.

              Подводя итоги всего вышесказанного можно сказать, что, несмотря на кажущуюся универсальность аппаратных ключей, они все-таки подвержены взлому. Разработчики ключей применяют различные способы для сведения вероятности взлома к минимуму: защита от реассемблирования, трассировки, отладчиков и многое другое. Однако защита от трассировки и отладчиков практически бесполезна, если используется SoftIce.

II.                       Аппаратная защита компьютера и информации

1.       Защита

              Вопрос защиты персональных компьютеров от несанкционированного доступа в сетях различных компаний и особенно банковских структур в последнее время приобретает всё большую популярность. Тенденции роста и развития внутренних ЛВС требуют более новых решений в области программно-аппаратных средств защиты от НСД. Наряду с возможностью удалённого НСД, необходимо рассматривать ещё и физический доступ к определённым компьютерам сети. Во многих случаях эта задача решается системами аудио- и видеонаблюдения, сигнализациями в помещениях, а также правилами допуска посторонних лиц, за соблюдением которых строго следит служба безопасности и сами сотрудники.

              Помимо этого, используются средства разграничения доступа пользователей к ресурсам компьютера, средства шифрования файлов, каталогов, логических дисков, средства защиты от загрузки компьютера с дискеты, парольные защиты BIOS и многое другое. Однако есть способы обойти любое из перечисленных средств в зависимости от ситуации и установленной защиты. Осуществляться это может различными путями перехвата управления компьютера на стадии загрузки BIOS или операционной системы, а также ввода на аппаратном уровне дополнительного BIOS. Следовательно, программно реализовать хорошую защиту довольно-таки проблематично. Именно поэтому для предотвращения подобных атак предназначена аппаратная защита компьютера. Такая защита базируется на контроле всего цикла загрузки компьютера для предотвращения использования различных загрузочных дискет и реализуется в виде платы, подключаемой в свободный слот материнской платы компьютера. Её программная часть проводит аудит и выполняет функции разграничения доступа к определённым ресурсам.

2.       Отрицательные аспекты и возможность обхода

              Программная часть: обход парольной защиты BIOS состоит в использовании программ, стирающих установки BIOS, или утилит изъятия паролей. В других случаях существует возможность отключения батарейки, что приводит к стиранию паролей BIOS. Изменить настройки BIOS можно, воспользовавшись программой восстановления.

              Аппаратная часть: следует учитывать тот факт, что с точки зрения реализации подобной аппаратной защиты, она сама не всегда защищена от ошибок в процессе обработки поступающей информации. Вероятно, многие системные администраторы сталкивались с ситуацией, когда разным устройствам присваиваются одинаковые адреса, что вызывает конфликт на аппаратном уровне и неработоспособность обоих конфликтующих устройств. В этом и заключается один из аспектов обхода такой защиты, методика которого состоит в эмуляции аппаратного конфликта, при котором отключается аппаратная часть защиты и эмулирующее устройство, и появляется возможность несанкционированного доступа к информации. В качестве эмулирующего устройства могут выступать различные сетевые карты, а также многие нестандартные платы.

3.       Возможные решения проблем и предупреждение взлома

              Первоочерёдной задачей в этом случае является создание замкнутой операционной среды компьютера, отключение в BIOS возможности загрузки компьютера с дискеты, удаление конфигурационных программ и программ декодирования, отладки и трассировки.               Следует также произвести разграничение доступа и осуществить контроль запускаемых приложений даже несмотря на то, что этим занимается программная часть аппаратной защиты.

4.       Специальные защитные устройства уничтожения информации

              Решение проблемы безопасности хранения важной конфиденциальной информации было предложено также в виде специальных защитных устройств, назначением которых является удаление информации при попытке изъятия накопителя - форматирование; первоочередная задача в первый момент действия - уничтожение информации с начала каждого накопителя, где расположены таблицы разделов и размещения файлов. Остальное будет зависеть от времени, которое проработает устройство. По прошествию нескольких минут вся информация будет уничтожена и её практически невозможно восстановить.

              Вид устройств такого принципа действия представляет собой блок, монтируемый в отсек 3,5" дисковода и имеющий автономное питание. Такое устройство применимо к накопителям типа IDE и включается в разрыв шлейфа. Для идентификации хозяина применяются электронные ключи с длиной кода 48 бит (за 10 секунд на предъявление ключа подбор исключается), а датчики, при срабатывании которых происходит уничтожение информации, выбираются хозяином самостоятельно.

5.       Шифрующие платы

              Применение средств криптозащиты является ещё одним способом обеспечения сохранности информации, содержащейся на локальном компьютере. Невозможно использовать и модифицировать информацию в зашифрованных файлах и каталогах. В таком случае конфиденциальность содержащейся на носителе информации прямо пропорциональна стойкости алгоритма шифрования.

              Шифрующая плата вставляется в свободный слот расширения PCI или ISA на материнской плате компьютера и выполняет функцию шифрования данных. Плата позволяет шифровать каталоги и диски. Оптимальным является способ шифрования всего содержимого жесткого диска, включая загрузочные сектора, таблицы разбиения и таблицы размещения файловой системы. Ключи шифрования хранятся на отдельной дискете.

              Шифрующие платы гарантируют высокую степень защиты информации, но их применение значительно снижает скорость обработки данных. Существует вероятность аппаратного конфликта с другими устройствами.

III.                     Аппаратная защита сети

              На сегодняшний день многие достаточно развитые компании и организации имеют внутреннюю локальную сеть. Развитие ЛВС прямо пропорционально росту компании, неотъемлемой частью жизненного цикла которой является подключение локальной сети к бескрайним просторам Интернета. Вместе с тем сеть Интернет неподконтрольна, поэтому компании должны серьезно позаботиться о безопасности своих внутренних сетей. Подключаемые к WWW ЛВС в большинстве случаев очень уязвимы к неавторизированному доступу и внешним атакам без должной защиты. Такую защиту обеспечивает межсетевой экран (брандмауэр или firewall).

1)      Брандмауэры

              Брандмауэры существуют двух видов: программные и аппаратные. Однако помимо этого их делят ещё и на типы: брандмауэр сетевого уровня (фильтры пакетов) и прикладного уровня (шлюзы приложений). Фильтры пакетов более быстрые и гибкие, в отличие от брандмауэров прикладного уровня. Последние направляют специальному приложению-обрабочику все приходящие пакеты извне, что замедляет работу.

              Для программных брандмауэров необходим отдельный компьютер на базе традиционных операционных систем Unix либо Windows NT. Такой брандмауэр может служить единой точкой входа во внутреннюю сеть. Слабость и ненадёжность подобной защиты заключается не столько в возможных нарушениях корректной работы самого программного брандмауэра, сколько в уязвимости используемых операционных систем, на базе которых функционирует межсетевой экран.

              Аппаратные брандмауэры построены на базе специально разработанных для этой цели собственных операционных систем. Далее приступим к рассмотрению именно аппаратных брандмауэров.

              Правильная установка и конфигурация межсетевого экрана - первый шаг на пути к намеченной цели. Чтобы выполнить установку аппаратного брандмауэра нужно подключить его в сеть и произвести необходимое конфигурирование. В простейшем случае, брандмауэр - это устройство, предотвращающее доступ во внутреннюю сеть пользователей извне. Он не является отдельной компонентой, а представляет собой целую стратегию защиты ресурсов организации. Основная функция брандмауэра - централизация управления доступом. Он решает многие виды задач, но основными являются анализ пакетов, фильтрация и перенаправление трафика, аутентификация подключений, блокирование протоколов или содержимого, шифрование данных.

2)      Методика построения защищённой сети и политика безопасности

              В процессе конфигурирования брандмауэра следует пойти на компромиссы между удобством и безопасностью. До определённой степени межсетевые экраны должны быть прозрачными для внутренних пользователей сети и запрещать доступ других пользователей извне. Такая политика обеспечивает достаточно хорошую защиту.

              Важной задачей является защита сети изнутри. Для обеспечения хорошей функциональной защиты от внешней и внутренней угрозы, следует устанавливать несколько брандмауэров. Именно поэтому на сегодняшний день широкое распространение получили именно аппаратные межсетевые экраны. Довольно часто используется специальный сегмент внутренней сети, защищённый извне и изолированный от остальных, так называемая демилитаризованная зона (DMZ). Иногда брандмауэры разных типов объединяют. Различная конфигурация брандмауэров на основе нескольких архитектур обеспечит должный уровень безопасности для сети с разной степенью риска. Допустим, последовательное соединение брандмауэров сетевого и прикладного уровня в сети с высоким риском может оказаться наилучшим решением.

              Существует довольно-таки много решений относительно более-менее безопасных схем подключения брандмауэров для проектирования правильной защиты внутренней сети. В данном случае рассмотрены только самые оптимальные в отношении поставленной задачи виды подключений.

              Довольно часто подключение осуществляется через внешний маршрутизатор. В таком случае снаружи виден только брандмауэр, именно поэтому подобная схема наиболее предпочтительна с точки зрения безопасности ЛВС.

              Брандмауэр также может использоваться в качестве внешнего маршрутизатора. Программные брандмауэры создаются на базе последних и интегрируются в них. Это наиболее комплексное и быстрое решение, хотя и довольно дорогостоящее. Такой подход не зависит от типа операционной системы и приложений.

              В случае, когда сервера должны быть видимы снаружи, брандмауэром защищается только одна подсеть, подключаемая к маршрутизатору. Для повышения уровня безопасности интранета больших компаний возможно комбинированное использование брандмауэров и фильтрующих маршрутизаторов для обеспечения строгого управления доступом и проведения должного аудита сети. В подобных случаях используются такие методы, как экранирование хостов и подсетей.

              Замечания:

       Брандмауэр не является абсолютной гарантией защиты внутренней сети от удалённых атак, несмотря на то, что осуществляет сетевую политику разграничения доступа к определённым ресурсам. Во множестве случаев достаточно вывести из строя лишь один межсетевой экран, защищающий определённый сегмент, чтобы отключить всю сеть от внешнего мира и при этом нанести достаточный ущерб, вызвав большие сбои в работе организации или компании.