- Перехват страниц, содержащих пользовательские данные. В этом случае злоумышленник получает ответ сервера вместо самого пользователя. Таким образом, он может получить доступ к важной или конфиденциальной информации.
В общем случае выделают непрограммные и программные методы противодействия в сети Internet.
К непрограммным методам противодействия в сети Internet относятся следующие методы:
1. Сложные пароли. Практика показывает, что даже самая шустрая программ для подбора пароля простым перебором справится с паролем из восьми символов чуть менее чем за год. Дело в том, что комбинаций из восьмизначного числа существует 2х1012, а комбинаций из восьми неизвестных взломщику символов - еще больше.
2. Не давайте прав доступа к администраторской панели сайта непроверенным людям. В противном случае не удивляйтесь, почему сайт взломан. Также не стоит давать права на добавление HTML-кода всем желающим, так как недобросовестные пользователи могут добавить на сайт вредоносный код.
3. Пользуйтесь антивирусом со свежими базами.
4. Не храните пароли в FTP-клиентах.
5. Для хранения паролей лучше используйте специальные менеджеры паролей, если не полагаетесь на свою память. Менеджер паролей - это специальная программа, которая позволяет хранить и упорядочивать пароли в зашифрованном файле.
6. Не посещайте сомнительные ссылки.
Решить проблемы безопасности призвана криптография - наука об обеспечении безопасности данных. Криптография и построенные на ее основе системы призваны решать следующие задачи.
- Конфиденциальность. Информация должна быть защищена от несанкционированного доступа как при хранении, так и при передаче. Доступ к информации может получить только тот, для кого она предназначена. Обеспечивается шифрованием.
- Аутентификация. Необходимо однозначно идентифицировать отправителя, при однозначной идентификации отправитель не может отказаться от послания. Обеспечивается электронной цифровой подписью и сертификатом.
- Целостность. Информация должна быть защищена от несанкционированного изменения как при хранении, так и при передаче. Обеспечивается электронной цифровой подписью.
В соответствии с названными задачами основными методами обеспечения безопасности выступают шифрование, цифровая подпись и сертификаты.
Шифрование. В настоящее время существует два основных типа криптографических алгоритмов:
1. классические, или симметричные алгоритмы, основанные на использовании закрытых, секретных ключей, когда и шифрование, и дешифрирование производятся с помощью одного и того же ключа;
2. алгоритмы с открытым ключом, в которых используются один открытый и один закрытый ключ, то есть операции шифрования производятся с помощью разных ключей. Эти алгоритмы называются также асимметричными.
Криптографические системы с открытым ключом используют так называемые необратимые или односторонние функции.
Цифровая подпись. Шифрование передаваемых через Интернет данных позволяет защитить их от посторонних лиц. Однако для полной безопасности должна быть уверенность в том, что второй участник транзакции является тем лицом, за которое он себя выдает. В бизнесе наиболее важным идентификатором личности заказчика является его подпись. В электронной коммерции применяется электронный эквивалент традиционной подписи - цифровая подпись . С ее помощью можно доказать не только то, что транзакция была инициирована определенным источником, но и то, что информация не была испорчена во время передачи.
Хэш-функции являются одним из важных элементов криптосистем на основе ключей и используются для обнаружения факта модификации сообщения, то есть для электронной подписи. Их относительно легко вычислить, но почти невозможно расшифровать. Хэш-функция имеет исходные данные переменной длины и возвращает строку (иногда называемую дайджестом сообщения - MD) фиксированного размера, обычно 128 бит.
Существует несколько защищенных хэш-функций: Message Digest 5 (MD-5), Secure Hash Algorithm (SHA) и др. Они гарантируют, что разные документы будут иметь разные электронные подписи, и что даже самые незначительные изменения документа вызовут изменение его дайджеста.
Цифровая подпись позволяет проверить подлинность личности отправителя: она основана на использовании личного ключа автора сообщения и обеспечивает самый высокий уровень сохранности информации.
Сертификаты. Как было сказано выше, основной проблемой криптографических систем является распространение ключей. В случае симметричных методов шифрования эта проблема стоит наиболее остро, поэтому при шифровании данных для передачи ключей через Интернет чаще всего используются асимметричные методы шифрования.
Для того чтобы сертификатам можно было доверять, независимая организация, выполняющая функции ЦС и являющаяся их источником, должна быть достаточно авторитетной.
Следует отметить, что технология цифровых сертификатов является двунаправленной. Это значит, что не только фирма может проверить подлинность заказа покупателя, но и сам покупатель имеет возможность убедиться, что он имеет дело именно с той фирмой, за которую она себя выдает. Осуществив взаимную проверку, обе стороны спокойно заключают сделку, так как обладают подлинными открытыми ключами друг друга и, соответственно, могут шифровать передаваемые данные и снабжать их цифровой подписью. Такой механизм обеспечивает надежность сделки, ибо в этом случае ни одна из сторон не сможет отказаться от своих обязательств.
Протоколы и стандарты безопасности. Описанные выше методы обеспечения безопасности являются основой построения большинства Интернет-систем. Это могут быть системы обмена информацией или платежные системы. Важность вопросов безопасности для их организации очень велика. Так, согласно проводимым исследованиям, одной из основных причин медленного роста электронной коммерции сегодня остается озабоченность покупателей надежностью средств, применяемых при расчетах в Интернете. Основные причины обеспокоенности связаны со следующими факторами:
- Отсутствие гарантии конфиденциальности - кто-либо может перехватить передаваемые данные и попытаться извлечь ценную информацию, например, данные о кредитных картах. Это может произойти как во время передачи информации, так и непосредственно после совершения покупки через торговые web-сайты.
- Недостаточный уровень проверки (аутентификации) участников операции
- покупатель, посещая электронный магазин, не уверен, что представленная на нем компания именно та, за кого она себя выдает, а у продавца нет возможности проверить, что покупатель, сделавший заказ, является законным обладателем кредитной карты.
- Нет гарантии целостности данных - даже если отправитель данных может быть идентифицирован, то третья сторона может изменить их во время передачи.
Наиболее распространенными механизмами, призванными устранить указанные факторы и обеспечить безопасность проведения электронных платежей через
Интернет сегодня являются:
- протокол SSL (Secure Socket Layer), обеспечивающий шифрование передаваемых через Интернет данных;
- стандарт SET (Secure Electronic Transactions), разработанный компаниями Visa и MasterCard и обеспечивающий безопасность и конфиденциальность совершения сделок при помощи пластиковых карт.
Протокол SSL - один из существующих протоколов обмена данными, обеспечивающий шифрование передаваемой информации. В настоящее время это наиболее распространенный метод защиты электронных транзакций в Интернете.
Протокол SSL позволяет решить часть названных проблем безопасности, однако его роль в основном ограничивается обеспечением шифрования передаваемых данных. Поэтому для комплексного решения перечисленных выше проблем была разработана спецификация и создан набор протоколов, известные как стандарт SET (Secure Electronic Transaction) - безопасные электронные транзакции.
Благодаря использованию цифровых сертификатов и технологий шифрования, SET позволяет как продавцам, так и покупателям производить аутентификацию всех участников сделки. Кроме того, SET обеспечивает надежную защиту номеров кредитных карт и другой конфиденциальной информации, пересылаемой через Интернет, а открытость стандарта позволяет разработчикам создавать решения, которые могут взаимодействовать между собой. Также важным фактором, обеспечивающим продвижение SET, является его опора на существующие карточные системы, ставшие привычным финансовым инструментом с отлаженной технологией и правовым механизмом.
Главная особенность SET - регламентация использования системы безопасности, которая устанавливается международными платежными системами. Требования Visa и Europay к центру обработки на основе SET включают, во-первых, традиционные требования к обработке пластиковых карт (защита помещений, контроль над доступом, резервное энергоснабжение, аппаратная криптография и т. п.), и, во-вторых, специфические дополнения - межсетевые экраны (Firewalls) для защиты каналов Интернета. Такой подход позволяет использовать единые методики оценки рисков при проведении электронных платежей вне зависимости от способа аутентификации клиента (традиционная карта с магнитной полосой, смарт-карта или цифровой сертификат). Это позволяет участникам платежной системы разрешать спорные ситуации по отработанным механизмам и сконцентрироваться на развитии своего электронного бизнеса.
В общем случае методика Firewall реализует следующие основные функции:
Многоуровневая фильтрация сетевого трафика;
Proxy-схема с дополнительной идентификацией и аутентификацией пользователей на Firewall-хосте. Смысл proxy-схемы заключается в создании соединения с конечным адресатом через промежуточный proxy-сервер на хосте Firewall;
SET обеспечивает следующие требования защиты операций электронной коммерции:
- секретность данных оплаты и конфиденциальность информации заказа, переданной вместе с данными об оплате;
- сохранение целостности данных платежей, которая обеспечивается при помощи цифровой подписи;
- специальную криптографию с открытым ключом для проведения аутентификации;
- аутентификацию держателя кредитной карты, которая обеспечивается применением цифровой подписи и сертификатов держателя карты;
- аутентификацию продавца и его возможности принимать платежи по пластиковым картам с применением цифровой подписи и сертификатов продавца;
- подтверждение того, что банк продавца является действующей организацией, которая может принимать платежи по пластиковым картам через связь с обрабатывающей системой, что обеспечивается с помощью цифровой подписи и сертификатов банка продавца;
- готовность оплаты транзакций в результате аутентификации сертификата с открытым ключом для всех сторон;
- безопасность передачи данных посредством использования криптографии.
SET позволяет сохранить существующие отношения между банком, держателями карт и продавцами, и объединяется с действующими системами, опираясь на открытость, международные стандарты платежных систем, лежащие в его основе, а также технологии и правовые механизмы, существующие в финансовой отрасли.
2. ОСОБЕННОСТИ ПОСТРОЕНИЯ ЗАЩИТЫ ИНФОРМАЦИИ В ТЕЛЕКОММУНИКАЦИОННЫХ СЕТЯХ
Информационно-телекоммуникационная сеть определяется как технологическая система, предназначенная для передачи по линиям связи информации, доступ к которой осуществляется с использованием средств вычислительной техники (п. 4 ст. 2 Федерального закона от 27 июля 2006 г. № 149-ФЗ «Об информации, информационных технологиях и о защите информации»). Понятие «информационно-телекоммуникационная сеть» выделяется в связи с необходимостью обеспечения правового регулирования отношений по поиску, получению, передаче, производству и распространению информации, т.е. сведений (сообщений, данных) независимо от формы их представления.
Понятие «информационно-телекоммуникационная сеть» шире понятия «сеть связи» и применяется для обозначения среды, в которой находится и через которую передается информация. В то же время более узкое понятие «сеть связи» отражает технологическое состояние средств и линий связи, непосредственно предназначенных для электросвязи.
Часть 1 ст. 15 Федерального закона от 27 июля 2006 г. № 149-ФЗ устанавливает условия использования информационно-телекоммуникационных сетей на территории Российской Федерации. Такое использование должно осуществляться с соблюдением требований законодательства Российской Федерации в области связи. Иными словами, информационно-телекоммуникационные сети, используемые для оказания услуг связи, должны соответствовать требованиям к созданию и эксплуатации сетей связи. информация безопасность телекоммуникационный
В телекоммуникационной системе можно выделить три варианта воздействия на информацию:
Задержка в передаче информации. Телекоммуникационная система может обеспечить абсолютно достоверную передачу информации, но время ее передачи может оказаться столь длительным, что она потеряет свою актуальность для потребителя. В предельном случае задержка информации может привести к её полной потере.
Искажение или нарушение целостности информации. При этом часть информации может быть утеряна, подменена другой информацией, либо к исходной информации может быть добавлена информация, искажающая исходную (например, вирусы). В предельном случае искажение информации может привести к полной её потере.
Несанкционированный доступ к информации, т.е. нарушение конфиденциальности информации.
Задержка в передаче информации возникает, в основном, в сетях электросвязи. Усложнение применяемых технологий сетей электросвязи, процессов управления сетями и их технической эксплуатации объективно ведет к возникновению сбоев в функционировании этих сетей и, как следствие, к задержкам передачи информации.