Стратегия информационной безопасности в сети Интернет

В последнее время в мире бурно развивается электронная коммерция или торговля посредством сети Интернет. Естественно, что этот процесс осуществляется при непосредственном участии кредитно-финансовых организаций. И этот способ торговли становится все более популярным, по крайней мере там, где новым электронным рынком можно воспользоваться значительной части предприятий и населения. У этой “медали” есть своя оборотная сторона. За рубежом, где наиболее широко развивается электронная коммерция, сделки или стоимость товаров часто ограничиваются величиной в 300-400 долларов. Это объясняется недостаточным решением проблем информационной безопасности в сетях ЭВМ. По оценке Комитета ООН по предупреждению преступности и борьбе с ней, компьютерная преступность вышла на уровень одной из международных проблем. В США этот вид преступной деятельности по доходности занимает третье место после торговли оружием и наркотиками. По мнению ведущих зарубежных специалистов развитие процесса электронной коммерции в основном определяется прогрессом в области безопасности информации.В России торговля через Интернет – достаточно новый вид коммерческой деятельности, не получивший пока широкого распространения. Однако первые шаги в этом направлении уже сделаны и нас также ожидают проблемы компьютерной безопасности. По прогнозам авторитетных аналитиков начало стремительного развития электронной коммерции прогнозируется в нашей стране в конце текущего года. Внешними приметами этого процесса могут служить участившиеся конференции, выставки и семинары, посвященные использованию Интернет. На финансовом рынке России начал развиваться е-трейдинг и е-банкинг. Зарубежные компании активно скупают популярные российские сайты или создают совместные предприятия для электронной коммерции. В Государственной Думе обсуждаются различные законопроекты, связанные с использованием Интернет.В этих условиях несомненный интерес для нас представляет зарубежный опыт решения проблем обеспечения безопасности коммерческой информации в глобальной сети Интернет и смежных Интранет сетях, которые по своей технической сущности не имеют принципиальных отличий и различаются в основном масштабами и открытостью.Проблемы обеспечения безопасности коммерческой информации в сетях электронного бизнеса столь объемны, а технологии так насыщенны, что они могут стать полномасштабной программой для специализированной конференции. Мы же, давая общее представление о происходящих в мире процессах, рассматриваем лишь некоторые фрагменты, а именно - обеспечение безопасности коммерческой информации в сетях с IP/TCP протоколом передачи данных и с акцентом на защиту телекоммуникаций. Обеспечить безопасность информационных технологий (ИТ) в настоящее время не представляется возможным без грамотного создания систем защиты информации. Это определило работы мирового сообщества по систематизации и упорядочиванию основных требований и характеристик таких систем в части безопасности информации. Это особенно актуально для так называемых открытых систем коммерческого применения, обрабатывающих информацию ограниченного доступа, не содержащую государственную тайну, и стремительно развивающихся в нашей стране. Под открытыми системами понимают совокупности всевозможного вычислительного и телекоммуникационного оборудования разного производства, совместное функционирование которого, обеспечивается соответствием требованиям стандартов, прежде всего международных.Такой подход связан с необходимостью увязать в единую систему большое разнообразие технических средств и программ, используемых в вычислительных системах или сетях. Термин «открытые» подразумевает также, что если вычислительная система соответствует стандартам, то она будет открыта для взаимосвязи с любой другой системой, которая соответствует тем же стандартам. Это, в частности, относится и к механизмам криптографической защиты информации или к защите от несанкционированного доступа (НСД) к информации.Следуя по пути интеграции, в 1990 году Международная организация по стандартизации (ИСО) начала создавать международные стандарты по критериям оценки безопасности информационных технологий для общего использования, названные “Common Criteria(CC)” или “Общие Критерии Оценки Безопасности Информационных Технологий(ОК)”. В разработке Общих Критериев участвовали: Национальный институт стандартов и технологии и Агентство национальной безопасности (США), Учреждение безопасности коммуникаций (Канада), Агентство информационной безопасности (Германия), Агентство национальной безопасности коммуникаций (Голландия), Органы исполнения Программы безопасности и сертификации ИТ (Англия), Центр обеспечения безопасности систем (Франция), которые опирались на солидный задел.Новые критерии адаптированы к потребностям взаимного признания результатов оценки безопасности ИТ в мировом масштабе и предназначены для использования в качестве основы для такой оценки. За десятилетие разработки лучшими специалистами мира ОК неоднократно редактировались. В результате был подготовлен Международный Стандарт ISO/IEC 15408. Текст документа ISO/IEC 15408 был опубликован как “Общие критерии оценки безопасности информационных технологий” (ОК) и в 1999 году утвержден. Ведущие мировые производители оборудования ИТ основательно подготовились к этому моменту и сразу стали поставлять заказчикам любые средства, полностью отвечающие требованиям ОК. Для защиты интересов субъектов информационных отношений необходимо сочетать меры следующих уровней: законодательного; административного; процедурного; программно-технического. В современном мире нормативно-правовая база должна быть согласована с международной практикой. Назрела необходимость приведения российских стандартов и сертификационных нормативов в соответствие с международным уровнем ИТ вообще и ИБ в частности. Приведем основные причины: необходимость защищенного взаимодействия с зарубежными организациями и зарубежными филиалами российских организаций; доминирование аппаратно-программных продуктов зарубежного производства. Обеспечение безопасности ИТ невозможно без разработки соответствующих законодательных актов и нормативно-технических документов. Критерии оценки безопасности информационных технологий занимают среди них особое место. Только стандартизованные критерии позволяют проводить сравнительный анализ и сопоставимую оценку продуктов ИТ.В Интернет популярны протоколы безопасной передачи данных, а именно SSL, SET, IP v.6. Перечисленные протоколы появились в Интернет сравнительно недавно, как необходимость защиты ценной информации. Напомним, что Интернет создавалась несколько десятилетий назад для научного обмена информацией не имеющей большой стоимости. Практика показывает важность такого вопроса при защите коммерческой информации. Его недооценка приводит к последующим финансовым потерям. Финансовые потери, связанные с нарушением безопасности информационных ресурсов, имеют прямое отношение к типично банковским рискам. Недаром всемирно известное страховое общество Лойд выдвигает свои “Условия страхования от электронных и компьютерных преступлений страхового полиса Ллойда LSW 238 (7/91)”. При этом рациональный уровень информационной безопасности зарубежных банков выбирается исходя из главного принципа - экономической целесообразности.Традиционно обычно дается полный набор сведений и правил в области управления рисками, по их полному спектру: от рыночного риска до специфического операционного риска информационной безопасности, который определяется вероятностью и потерями реализации угроз для информации. Кстати, более подробные сведения по этому вопросу можно получить на сайтах (http:// www. csrc. NIST. gov; http://home.netscape.com/newsref/ref/netscape-security.html, http://www.ca.com/ISTF/ и т.д. ).Также полезно в этом случае уточнить само понятие безопасность информации — состояние устойчивости информации к случайным или преднамеренным воздействиям, исключающее недопустимые риски ее уничтожения, искажения и раскрытия, которые приводят к материальному ущербу владельца или пользователя информации. Это определение наиболее полно учитывает главное назначение любой коммерческой информационной автоматизированной системы — исключение финансовых потерь, получение прибыли владельцем и пользователями данного инструментария в условиях реальных рисков.При достижении безопасности информации базовыми задачами являются обеспечение ее доступности, конфиденциальности, целостности и юридической значимости. Каждая угроза должна рассматриваться с точки зрения того, как она может затронуть эти четыре свойства или качества безопасной информации. Конфиденциальность означает, что информация ограниченного доступа должна быть доступна только тому, кому она предназначена. Под целостностью информации понимается ее свойство существования в неискаженном виде. Доступность информации определяется способностью системы обеспечивать своевременный беспрепятственный доступ к информации субъектов, имеющих на это надлежащие полномочия. Юридическая значимость информации приобретает важность в последнее время, вместе с созданием нормативно-правовой базы безопасности информации в нашей стране. Последнее, например, актуально при необходимости обеспечения строгого учета платежных документов и любых информационных услуг, который является экономической основой работы всякой информационной системы и служит для соблюдения жесткой регламентации и регистрации доступа к информации при пользовании информационными ресурсами системы. Например, наиболее важным (ценным) объектом защиты в автоматизированных банковских системах является электронный платежный документ, его информация или данные. В частности, об этом сказано в приказе ЦБ РФ №02-144 от 3 апреля 1997 года.Помимо этого часто должна обеспечиваться строгая нотаризация (юридически значимая регистрация) информации, которая необходима при разборе любых конфликтов между заказчиками и исполнителями работ по информационному обслуживанию.Возвращаясь к конкретным техническим решениям, рассмотрим популярнце в Интернет протоколы информационной безопасности. Протокол SSL (secure socket layer) был разработан американской компанией Netscape Communications Corp. (http://home.netscape.com/eng/ssl3/index.html), как протокол обеспечивающий защиту данных между сервисными протоколами (такими как HTTP, NNTP, FTP и т.д.) и транспортными протоколами (TCP/IP) с помощью современной криптографии. Протокол SSL предназначен для решения традиционных задач обеспечения защиты информационного взаимодействия, которые в среде "клиент-сервер" интерпретируются следующим образом: -пользователь и сервер, подключаясь, должны быть взаимно уверены, что они обменивается информацией не с подставными абонентами, а именно с теми, которые нужны, не ограничиваясь паролевой защитой; - после установления соединения между сервером и клиентом весь информационный поток между ними должен быть защищен от несанкционированного доступа; - и, наконец, при обмене информацией стороны должны быть уверены в отсутствии случайных или умышленных искажений при ее передаче. Протокол SSL позволяет серверу и клиенту перед началом информационного взаимодействия аутентифицировать или провести проверку подлинности друг друга (“server/client authentication”), согласовать алгоритм шифрования и сформировать общие криптографические ключи. С этой целью в протоколе используются двухключевые (ассиметричные) криптосистемы, в частности, RSA. Конфиденциальность информации, передаваемой по установленному защищенному соединению, обеспечивается путем шифрования потока данных на сформированном общем ключе с использованием симметричных криптографических алгоритмов (например, RC4_128, RC4_40, RC2_128, RC2_40, DES40 и др.). Контроль целостности передаваемых блоков данных производится за счет использования так называемых кодов аутентификации сообщений (Message Autentification Code - MAC), вычисляемых с помощью хэш-функций (в частности, MD5). Последняя версия (SSLeay v. 0.8.0) поддерживает SSLv3. Данная версия доступна в исходных текстах. Этот пакет предназначен для создания и управления различного рода сертификатами. Так же в его состав входит и библиотека для поддержки SSL различными программами. Протокол SSL принят W3 консорциумом (W3 Consortium) на рассмотрение, как основной защитный протокол для клиентов и серверов (WWW browsers and servers) в сети ИнтернетНаиболее распространенный зарубежный опыт решения вопросов ключевого управления электронного документооборота, основывается на использовании Public Key Infrasspanucture (PKI) - Инфраструктуры Открытых Ключей (ИОК), названной по названию используемого способа защиты электронных документов – криптография с открытыми ключами. Этим термином описывается полный комплекс программно-аппаратных средств, а также организационно- технических мероприятий, необходимых для использования технологии с открытыми ключами. Основным компонентом инфраструктуры является собственно система управления цифровыми ключами и сертификатами.Эта инфраструктура подразумевает использование цифровых сертификатов, удовлетворяющих международным рекомендациям Х.509 ITU-T, и развернутую сеть центров сертификации, обеспечивающих выдачу и сопровождение цифровых сертификатов для всех участников электронного обмена документами. По своим функциям цифровые сертификаты аналогичны обычной печати, которой удостоверяют подпись на бумажных документах.Цифровые сертификаты содержат открытые криптографические ключи абонентов, заверенные электронной цифровой подписью центра сертификации и обеспечивают однозначную аутентификацию участников обмена, а центры сертификации обеспечивают надежное распространение и сопровождение ключевой информации. Такие сертификаты представляют собой определенную последовательность битов, основанных на криптографии с открытым ключом. Цифровой сертификат представляет собой совокупность персональных данных владельца и открытого ключа его электронной подписи (а при необходимости, и шифрования), связанных в единое неизменяемое целое электронной подписью центра сертификации. Цифровой сертификат оформляется в виде файла или области памяти и может быть записан на дискету, смарт – карту, touch-memory, любой другой носитель данных. Цифровые сертификаты предотвратят возможность подделок, от которых не застрахованы существующие виртуальные системы. Сертификаты держателя карты и продавца также дают уверенность в том, что их транзакции будут обработаны с тем же высоким уровнем защиты, что и транзакции, которые обрабатываются сегодня традиционными способами.По такой схеме развертываются многие современные международные системы обмена информацией в открытых сетях. Примерами центров сертификации являются американские компании Verisign, GTE. Наиболее перспективный стандарт или протокол безопасных электронных транзакций в сети Интернет - SET (Security elecspanonics spanansaction), предназначенный для организации электронной торговли через сеть Интернет, также основан на использовании цифровых сертификатов по стандарту Х.509. В настоящее время в десятках стран мира уже насчитываются сотни государственных, ведомственных и корпоративных центров сертификации, обеспечивающих ключевое управление. Протокол выполнения защищенных транзакций SET является стандартом, разработанным компаниями MasterCard и Visa при значительном участии IBM, GlobeSet и других партнеров. Он позволяет покупателям приобретать товары через Интернет, используя самый защищенный на настоящее время механизм выполнения платежей. SET является открытым стандартным многосторонним протоколом для проведения безопасных платежей с использованием пластиковых карточек в Интернет. SET обеспечивает кросс-аутентификацию счета держателя карты, продавца и банка продавца для проверки готовности оплаты, целостность и секретность сообщения, шифрование ценных и уязвимых данных. Поэтому SET более правильно можно назвать стандартной технологией или системой протоколов выполнения безопасных платежей с использованием пластиковых карт через Интернет.SET позволяет потребителям и продавцам подтвердить подлинность всех участников сделки, происходящей в Интернет, с помощью криптографии, в том числе, применяя цифровые сертификаты. Объем потенциальных продаж в области электронной коммерции ограничивается, достижением необходимого уровня безопасности информации, который обеспечивают вместе покупатели, продавцы и финансовые институты, обеспокоенные вопросами безопасности в Интернет. Как упоминалось ранее, базовыми задачами защиты информации являются обеспечение ее доступности, конфиденциальности, целостности и юридической значимости. SET, в отличии от других протоколов, позволяет решать указанные задачи защиты информации в целом.SET, в частности, обеспечивает следующие специальные требования защиты операций электронной коммерции: Секретность данных оплаты и конфиденциальность информации заказа, переданной наряду с данными об оплате; Сохранение целостности данных платежей. Целостность информации платежей обеспечивается с помощью цифровой подписи; Специальную криптографию с открытым ключом для проведения аутентификации; Аутентификацию держателя по кредитной карточке. Она обеспечивается применением цифровой подписи и сертификатов держателя карт; Аутентификацию продавца и его возможности принимать платежи по пластиковым карточкам с применением цифровой подписи и сертификатов продавца; Аутентификацию того, что Банк продавца является действующей организацией, которая может принимать платежи по пластиковым карточкам через связь с процесинговой карточной системой. Аутентификация банка продавца обеспечивается использованием цифровой подписи и сертификатов Банка продавца; Готовность оплаты транзакций в результате аутентификации сертификата с открытым ключом для всех сторон; Безопасность передачи данных посредством преимущественного использования криптографии .Основное преимущество SET над многими существующими системами обеспечения информационной безопасности заключается в использовании цифровых сертификатов (стандарт X509, версия 3), которые ассоциируют держателя карты, продавца и банк продавца с рядом банковских учреждений платежных систем Visa и Mastercard. Кроме того, SET позволяет сохранить существующие отношения между банком, держателями карт и продавцами, и интегрируется с существующими системами.Тематическая группа по технологии Интернет (Internet Engineering Task Force, IETF) в 1992 г. выступила с инициативой по разработке требований к протоколам семейства TCP/IP нового поколения. После обсуждения нескольких концепций, в начале 1995 года были опубликованы основные требования к архитектуре построения и указаны основные принципы функционирования средств обеспечения безопасности. Протоколы TCP/IP нового поколения (IPv6) включают следующие новые черты: расширенное адресное пространство; улучшенные возможности маршрутизации; управление доставкой информации; средства обеспечения безопасности, использующие алгоритмы аутентификации и шифрования.Спецификация IPsec, дополнительная по отношению к текущей версии протоколов TCP/IP и входящая в стандарт IPv6, разрабатывается Рабочей группой IP Security Тематической группы по технологии Интернет. В настоящее время IPsec включает 3 алгоритмо-независимых базовых спецификаций, опубликованных в качестве следующих RFC-документов.Разработаный IETF протокол IPsec, предусматривает стандартный способ шифрования трафика на сетевом (третьем) уровне IP и обеспечивает защиту на основе сквозного шифрования. IPsec шифрует каждый проходящий по каналу пакет независимо от приложения. Это позволяет организации создавать в Интернет виртуальные частные сети. IPsec поддерживает DES, MD5 и ряд других криптографических алгоритмов. IPsec предназначен для работы по верх связных протоколов.Преимущества обеспечения информационной безопасности на сетевом уровне с помощью IPsec включают: поддержка немодифицированных конечных систем; поддержка иных протоколов, чем ТСР; поддержка виртуальных сетей в незащищенных сетях; защита заголовка транспортного уровня от перехвата т.е. более надежная защита от анализа трафика; защита от атак типа “отказ в обслуживании”.IPsec имеет еще два важных преимущества - при его применении не требуется изменение промежуточных устройств в сети и рабочие места и серверы необязательно должны поддерживать IPsec.IPsec - это система, использующая несколько различных методов для обеспечения комплексной информационной безопасности. Она использует: обмен ключами через открытую сеть на основе криптографического алгоритма Диффи-Хеллмана; применение цифровой подписи с использованием открытого ключа; алгоритм шифрования, подобный DES, для шифрования передаваемых данных; использование хэш - алгоритма для определения подлинности пакетов.Протокол IPsec был разработан в рамках усилий по созданию средств защищенной передачи пакетов для IPv6, протокола IP следующего поколения сети Интернет - 2. Их спецификация продолжает совершенствоваться по мере выхода на рынок все новых и новых программных продуктов.Борис Иванович Скородумов Член комитета НАУФОР по электронной торговле, исполнительный директор НТЦ АРБ, эксперт-консультант компании Стинс Коман, к.т.н.тел. 231-3040, 231-3050, 465-4763E-mail: stcarb@elnet.msk.ru, bisco@newmail.ru