Защита информации от НСД

1. Доклад по теме: «Программно-аппаратные средства защиты информации от нсд» Выполнил:Студент ИС-0-13/1Голубец В.С.

2. Программно-аппаратные средства защиты информации от НСД Современные информационные системы представляют собой сложную систему, состоящую из большого числа компонентов различной степени автономности, которые связаны между собой и обмениваются данными. Практический каждый компонент может подвергнуться внешнему воздействию и выйти из строя. Несмотря на то, что современные ОС для персональных компьютеров, такие как “Windows”, имеют собственные подсистемы защиты, актуальность создания дополнительных средств защит сохраняется. Дело в том, что большинство систем не способны защитить данные, находящиеся за их пределами. И в этих случаях для защиты данных используется аппаратно-программные средства защиты информации.

3. Назначение программно-аппаратной защиты Программно-аппаратная защита используется для защиты про­граммного обеспечения от несанкционированного (неавторизованного) доступа и нелегального использования. Защит­ный механизм программным образом опрашивает специальное уст­ройство, используемое в качестве ключа, и работает только в его присутствии. Таким образом, механизм программно-аппаратной за­щиты содержит две составляющие: 1)      аппаратное устройство  (аппаратная часть); 2)      программный модуль  (программная часть). Поэтому обычно говорят о системах программно-аппаратной защиты

4. Назначение программно-аппаратной защиты Система защиты от несанкционированного доступа к данным реализована таким образом, что осуществляет проверку легальности пользователя при работе с программным обеспечением и тем самым косвенно препятствует и незаконному использованию программы. Кроме того, современные аппаратные устройства (ключи), помимо информации о законном пользователе, могут содержать также информацию о программном продукте. А системы программно-аппаратной защиты, кроме аутентификации пользователя, могут производить аутентификацию приложения.

5. Защита от несанкционированного доступа: Рассмотрим основные моменты защиты информации от несанкционированного доступа. Речь идет о таком порядке работы, при котором: 1)   доступ к информации имеет только тот пользователь, который имеет разрешение, будем называть такого пользователя законным; 2)   каждый законный пользователь работает только со своей информацией и не имеет доступа к информации другого законного пользователя; 3)   каждый законный пользователь может выполнять только те операции, которые ему разрешено выполнять.

6. Защита от несанкционированного доступа Для организации такого порядка работы прежде всего необходимо обеспечить распознавание законного пользователя. Этот процесс часто называют авторизацией пользователя. Авторизация пользователя включает три этапа:

7. ИДЕНТИФИКАЦИЯ ПОЛЬЗОВАТЕЛЯ Идентификация пользователяэто, с одной стороны, присвоение пользователю идентификатора - некоторого уникального признака (или нескольких). С другой стороны, процесс, во время которого пользователь указывает присвоенный ему идентификатор. Другими словами, идентификация - это процесс, при котором пользователь называет себя. Идентификация пользователя может быть основана: ·        на знании некоторой секретной информации (пароль, код); ·        на владении некоторым специальным предметом или устройством (магнитная карточка, электронный ключ); ·        на биометрических характеристиках (отпечатки пальцев, сетчатка глаза, спектральный состав голоса и т.п.).

8. ИДЕНТИФИКАЦИЯ ПОЛЬЗОВАТЕЛЯ Системы, основанные на владении некоторым специальным предметом или устройством. К такого рода системам относятся, прежде всего программные механизмы парольной защиты, которые были уже рассмотрены выше. Кроме того, заметим, что системы, основанные на владении некоторым специальным предметом или устройством (магнитная карточка, электронный ключ), как правило, предполагают также знание пользователем некоторой секретной информации. Системы, основанные на владении некоторым специальным предметом или устройством Традиционно в качестве таких устройств, применялись магнитные карточки. Система защиты снабжалась устройством чтения персональной информации (уникального кода пользователя), записанной на магнитной карточке. Заметим, что с точки зрения защиты от несанкционированного доступа такие системы обладают малой степенью надежности, так как магнитная карточка может быть легко подделана (например, скопирована на специальном оборудовании).

9. ИДЕНТИФИКАЦИЯ ПОЛЬЗОВАТЕЛЯ Наибольшее распространение получили системы защиты, использующие смарт-карты (SmartCard - интеллектуальная карта). В памяти смарт-карты также хранится эталонная информация для аутентификации пользователя, но в отличие от традиционной магнитной карточки, смарт-карта содержит микропроцессор, который позволяет производить некоторые преобразования уникального кода пользователя или некоторые другие действия. Многие специалисты технологии защиты, основанные на использовании смарт-карт, считают прогрессивными, поэтому уделяют большое внимание их развитию.  

10. ИДЕНТИФИКАЦИЯ ПОЛЬЗОВАТЕЛЯ Системы, основанные на биометрических характеристиках. Системы используют уникальные индивидуальные особенности строения человеческого тела для идентификации личности. В состав систем входят специальные считывающие устройства, генерирующие эталонные идентификаторы пользователей, а также устройства или программное обеспечение, анализирующее предъявленный образец и сравнивающее его с хранящимся эталоном. В настоящее время разработаны разнообразные устройства, позволяющие идентифицировать личность на основе биометрических характеристик. Рассмотрим некоторые примеры.  

11. ИДЕНТИФИКАЦИЯ ПОЛЬЗОВАТЕЛЯ Примеры: • Устройства считывания отпечатков пальцев идентифицируют личность по форме и числу деталей - точек начала и конца линий на пальце; • Сканеры сетчатки глаза сканируют образцы сетчатки глаза пользователя, сосредоточиваясь на уникальных кровеносных сосудах; • Устройства верификации голоса строят математическую модель вокального диапазона говорящего и используют ее для сравнения с образцом голоса; • Устройства считывания геометрии руки используют свет для построения трехмерного изображения руки человека, проверяя такие характеристики, как длина и ширина пальцев и толщина руки.

12. АУТЕНТИФИКАЦИЯ ПОЛЬЗОВАТЕЛЯ Аутентификация пользователя(установление подлинности) - установление подлинности пользователя на основе сравнения с эталонным идентификатором. Аутентификация пользователя обычно реализуется по одной из двух схем: простая PIN-аутентификация или защищенная PIN-аутентификация. Обе схемы основаны на установлении подлинности пользователя посредством сравнения PIN-кода пользователя (PIN -Personalidentificationnumber, персональный идентификационный номер) с эталоном. При простой PIN-аутентификации PIN-код просто посылается в ключ (смарт-карту); ключ (смарт-карта) сравнивает его с эталоном, который хранится в его (ее) памяти, и принимает решение о дальнейшей работе.

13. АУТЕНТИФИКАЦИЯ ПОЛЬЗОВАТЕЛЯ Процесс защищенной PIN-аутентификации реализуется по следующей схеме: ·защищенное приложение посылает запрос ключу (смарт-карте) на PIN-аутентификацию; ·ключ (смарт-карта) возвращает случайное 64-разрядное число; ·приложение складывает это число по модулю 2 с PIN-кодом, который ввел владелец ключа (смарт-карты), зашифровывает его DES-алгоритмом на специальном ключе аутентификации и посылает результат ключу (смарт-карте); ·ключ (смарт-карта) осуществляет обратные преобразования и сравнивает результат с тем, что хранится в его (ее) памяти. В случае совпадения считается, что аутентификация прошла успешно и пользователь (приложение) может продолжать работу.

14. АВТОРИЗАЦИЯ ПОЛЬЗОВАТЕЛЯ Авторизация пользователя - установление прав пользователя. Авторизованный пользователь  (авторизованное лицо) - пользователь (лицо), который получил определенные права на работу с информацией. В процессе авторизации для законного пользователя определяются права пользователя, то есть определяются данные, с которыми ему разрешено работать (операции, которые ему разрешено выполнять и т.п). В процессе авторизации для законного пользователя определяются права пользователя, то есть определяются данные, с которыми ему разрешено работать (операции, которые ему разрешено выполнять и т.п).

15. Электронные ключи Электронный ключ – это некоторое физическое устройство. Электронный ключ может быть выполнен либо на основе специализированного чипа, либо на микросхемах энергонезависимой электрически перепрограммируемой памяти, либо на базе микропроцессоров. Долгое время такие устройства подсоединялись к разъему параллельного (принтерного) порта компьютера, что ввиду неудобства сдерживало широкое внедрение электронных ключей. Позже появились технологии, позволяющие подсоединять электронные ключи и через последовательные порты. Новейшие стандарты и технологии (в частности, технология подключения устройств на основе USB-шины - UniversalSerialBus) позволяют иметь дополнительные порты в удобных и легкодоступных местах компьютера и тем самым способствуют широкому применению аппаратных устройств для защиты. В памяти электронного ключа хранится уникальная информация. Программная часть системы защиты определяет наличие электронного ключа при запуске программы и проверяет правильность содержащейся в ключе информации.

16. Способы взлома программно-аппаратной защиты На практике в основном применяются два способа взлома программно-аппаратной защиты: 1.    Отключение (взлом) программной части защиты. 2.    Эмулирование электронного ключа. Первый способ взлома заключается в удалении (модификации) из защищенного приложения полностью или частично кодов, связанных с механизмом защиты. Например, иногда достаточно удалить из программы команды опроса электронного ключа и/или команды сравнения с эталоном. Очевидно, что большинство из рассмотренных выше методов взлома программной защиты могут быть использованы для взлома программной части программно-аппаратной защиты. Эмулирование электронного ключа  - это способ взлома путем эмулирования программными или аппаратными средствами работы электронного ключа. Эмулятор - программа, выполняющая функции, обычно реализуемые некоторым внешним устройством.

17. Способы взлома программно-аппаратной защиты Программа-эмулятор реализована таким образом, что возвращает защищенному приложению «правильные» ответы на все обращения к электронному ключу. В результате получается электронный ключ, реализованный только на программном уровне. Для защиты от эмуляции электронного ключа рекомендуется использовать хаотический порядок обмена информацией между защищенным приложением и электронным ключом. Для противодействия эмуляции через точку входа рекомендуется контролировать целостность соответствующего фрагмента программы и/или зашифровать его. Специалисты рекомендуют наряду с явными обращениями к ключу реализовывать и скрытые вызовы. Для противодействия эмуляции с помощью подмены драйвера работы с ключом специалисты также рекомендуют контролировать целостность драйвера, например, с помощью электронной цифровой подписи. Заметим, что реализация эмулятора электронного ключа достаточно сложна, поэтому доступна только высококвалифицированным специалистам.

18. Сравнительный анализ электронного замка «Соболь» и АМДЗ «Аккорд-АМДЗ» Электронный замок «Соболь» разработан НИП «Информзащита» и является типичным примером электронного замка. Аппаратный модуль доверенной загрузки «Аккорд-АМДЗ» выполняет более широкие функции, чем простой электронный замок, но, в частности, выполняет и функции электронного замка. Он серийно выпускается ОКБ САПР. Принцип работы перечисленных электронных замков примерно одинаков, и основан на перехвате момента загрузки ОС при помощи кода, размещенного в т.н. Expansion ROM. При получении управления ПО электронного замка проводит идентификацию/аутентификацию пользователя, затем выполняются процедуры контроля целостности аппаратных и программных средств, и затем происходит загрузка ОС, установленной на компьютере.  Качество и надежность процедур идентификации/аутентификации конроля целостности являются основными определяющими факторами при выборе электронного замка. Рассмотрим реализацию этих процедур более подробно.

19. Сравнительный анализ электронного замка «Соболь» и АМДЗ «Аккорд-АМДЗ» Идентификация/аутентификация пользователя в электронном замке «Соболь» Сложность интерфейсного автомата контроллера “Соболь” весьма невысока. Именно это является причиной того, что процедура идентификации/аутентификации проводится не контроллером “Соболь”, а только при помощи ПО, размещенного в BIOS контроллера и исполняемого персональным компьютером. Фактически это выглядит так:  - запрос на получение ТМ-идентификатора; - ввод пароля; - чтение всех данных из энергонезависимой памяти контролера в памяти персонального компьютера; - принятие решения о успешном/ неуспешном завершении процедуры; - блокирование дальнейшей работы с энергонезависимой памятью.

20. Сравнительный анализ электронного замка «Соболь» и АМДЗ «Аккорд-АМДЗ» Идентификация/аутентификация пользователя в электронном замке «Соболь» Рисунок 1. Электронный замок «Соболь»

21. Сравнительный анализ электронного замка «Соболь» и АМДЗ «Аккорд-АМДЗ» Идентификация/аутентификация пользователя в электронном замке «Аккорд амдз» на базе контроллеров «аккорд» Процесс идентификации/аутентификации отличается от вышеизложенного прежде всего тем, что данные о пользователях никогда не попадают в оперативную память персонального компьютера, более того несанкционированный доступ к ним невозможен. За дисциплину доступа к данным энергонезависимой памяти отвечает микроконтроллер, имеющий встроенное ПО и данные.  Рассмотрим процесс более подробно:  - ПО контроллера запрашивает ТМ-идентификатор и пароль (это делается в памяти ПК); - эти данные передаются микроконтроллеру, который принимает решение о успешности/ не успешности процедуры при помощи анализа содержимого энергозависимой памяти (эта операция производится только микроконтроллером); - в случае успеха устанавливается дисциплина доступа к энергозависимой памяти, определяемая параметрами пользователя.

22. Сравнительный анализ электронного замка «Соболь» и АМДЗ «Аккорд-АМДЗ» Идентификация/аутентификация пользователя в электронном замке «Аккорд амдз» на базе контроллеров «аккорд» Рисунок 2. Электронный замок «Аккорд»

23. Сравнительный анализ электронного замка «Соболь» и АМДЗ «Аккорд-АМДЗ» Есть и еще одно важное отличие. У обоих контроллеров данные энергонезависимой памяти хранятся в зашифрованном виде. У контроллера «Аккорд» ключ для доступа к этим данным хранится непосредственно в микроконтроллере, и нет никакой возможности для его получения (это определяется особенностями архитектуры микроконтроллера). У контроллера “Соболь” нет подходящего ресурса для хранения такого ключа, а значит этот ключ надо хранить либо фактически в открытом виде в коде ПО, либо в ТМ-идентификаторе пользователя, что очень упрощает решение задачи получения доступа к данным энергонезависимой памяти. 

24. Сравнительный анализ электронного замка «Соболь» и АМДЗ «Аккорд-АМДЗ» КОНТРОЛЬ ЦЕЛОСТНОСТИ АППАРАТНЫХ И ПРОГРАММНЫХ СРЕДСТВ ПЕРСОНАЛЬНОГО КОМПЬЮТЕРА Непосредственно данные процедуры выполняются при помощи ПО в памяти персонального компьютера. При этом большое значение имеет выбор места и способа хранения эталонных данных для процедур контроля целостности.  При сравнении начнем с того, что электронный замок “Соболь” вообще не содержит функций контроля целостности аппаратных средств персонального компьютера, в то время как электронный замок “Аккорд-АМДЗ” имеет развитую подсистему контроля целостности аппаратных средств компьютера более чем по 20 параметрам.  Оба электронных замка имеют функции контроля целостности файлов на дисках. При этом для хранения эталонных данных “Аккорд-АМДЗ” использует энергонезависимую память данных, в то время как “Соболь” хранит данные на жестком диске в виде файлов данных. Естественно, что хранение в энергонезависимой памяти является намного более надежным решением, но при этом могут возникнуть дополнительные требования к ее объему. 

25. Сравнительный анализ электронного замка «Соболь» и АМДЗ «Аккорд-АМДЗ» Энергонезависимая память, примененная в контроллере “Соболь” не позволяет иметь суммарный объем памяти более 64Кбайт, кроме того имеет крайне низкую скорость обмена.  Энергонезависимая память, примененная в контроллере «Аккорд» имеет высокую скорость обмена, и ее объем может быть легко увеличен до 16 Мбайт, чего более чем достаточно для любых разумных применений. Стандартно поставляемый контроллер (емкость памяти – 256 КБайт) может хранить данные о целостности примерно 1700-1800 файлов.  ПО электронного замка “Соболь” способно контролировать целостность файлов, расположенных в разделах типа FAT, NTFS. ПО электронного замка “Аккорд-АМДЗ” способно работать с разделами типа FAT, NTFS, HPFS, Free-BSD.  Однако способ реализации контроля целостности файлов в NTFS разделе, примененный разработчиками “Соболя”, вызывает много вопросов. Предлагается следующая схема контроля целостности файлов в разделе NTFS.

26. Сравнительный анализ электронного замка «Соболь» и АМДЗ «Аккорд-АМДЗ» На основе выше изложенного можно сделать следующие выводы: 1. Аппаратные средства электронного замка «Аккорд-АМДЗ» имеют подавляющее преимущество перед аппаратными средствами электронного замка «Соболь» (контроллер «Соболь»). 2. Программные средства электронного замка «Соболь» также значительно уступают по качеству ПО «Аккорд-АМДЗ». Некоторые недостатки обусловлены архитектурой контроллера, и не могут быть устранены принципиально, подсистема может быть модернизирована в будущем.

27. Сравнительный анализ электронного замка «Соболь» и АМДЗ «Аккорд-АМДЗ» В таблице приведены значения характеристик средств защиты информации уровня ПЭВМ, по которым осуществляется сравнение их функциональных возможностей и оценка их применения в АС.

28. Сравнительный анализ электронного замка «Соболь» и АМДЗ «Аккорд-АМДЗ»

29. Сравнительный анализ электронного замка «Соболь» и АМДЗ «Аккорд-АМДЗ»

30. Сравнительный анализ электронного замка «Соболь» и АМДЗ «Аккорд-АМДЗ»

31. Сравнительный анализ электронного замка «Соболь» и АМДЗ «Аккорд-АМДЗ»

32. Спасибо за внимание!!!