Проблемы безопасности

С момента появления компьютеров и компьютерных сетей существует небольшая прослойка людей, стремящаяся продемонстрировать свои интеллектуальные возможности, вмешиваясь в работу компьютерных сетей и систем. Иногда люди, проводящие эти атаки, имеют своей целью получить финансовую выгоду или отомстить за ущерб, который был им нанесен (как реальный, так и воображаемый).

Суть этих атак состоит в разработке способов повреждения информационных систем.

И хотя это может звучать патетично, люди, занимающиеся подобными атаками, па самом деле проявляют только свою интеллектуальную несостоятельность. Чаще всего своим успехом они больше обязаны открытости атакуемой системы, чем чему-либо еще. Тем не менее, бывают случаи, когда люди, вмешивающиеся в систему, демонстрируют развитый интеллект и глубокие знания технологий связи и компьютерных операционных систем. Но, как это зачастую и случается, они сами впоследствии могут стать жертвами атак своих «коллег».

Насколько распространены попытки взлома систем безопасности?
Невозможно определить, как часто системы безопасности подвергаются атакам н насколько часто эти атаки достигают цели. Бреши, имеющиеся в вашей системе безопасности, никому не известны. Разумеется, большинство компаний не разглашают информацию о своих проблемах в области безопасности, так как, согласно весьма распространенному мнению, это может сделать их уязвимыми для последующих атак (не говоря уж о недовольстве держателей акций). Многие из вас сталкивались с какими-либо пробелами в системе безопасности вашего компьютера или компьютера вашей компании.

Меры безопасности
Когда речь заходит о безопасности данных в Интернете, некоторые могут сказать, что под этим понимается шифрование данных. Другие могут закричать: «Уберите эти cookies подальше от моего компьютера!»

Что такое брандмауэр?
Перед тем как продолжить обсуждение, мы должны коротко рассказать о том, что такое брандмауэр. Брандмауэром называют систему (часто это маршрутизатор или персональный компьютер), используемую для реализации правил контроля доступа к данным внутри организации или между организациями. Брандмауэр позволяет разрешать или запрещать проходящие через пего потоки данных

Внутренние и внешние сети (Trusted and Untrusted Networks)
Чтобы построить систему безопасности, организация должна в первую очередь разработать политику контроля для внутренних и внешних сетей и сетевых ресурсов. В некоторых организациях считают, что их внутренним сетям (например, локальным сетям внутри их зданий) можно доверять. При этом считают, что сети вне организации — внешние (им доверять нельзя)

Виртуальные частные сети (Virtual Private Network — VPN)
Этот термин используется уже много лет. Впервые он был применен в 70-х годах в пакетных сетях общего пользования Х.25 для описания сети, доступной пользователям так же, как телефонная сеть доступна для потребителей. На рис. 1 показана схема построения первых VPN-сетей. Идея заключается в том, что эта сеть обслуживает пользователя таким

Современные виртуальные частные сети (VPN)
Современные VPN предоставляют те же услуги, что и раньше, но с некоторыми дополнениями. Новая схема построения такой сети показана на рис. 1. Такая сеть обладает следующими дополнительными свойствами:

Виртуальные частные сети и соглашения о качестве предоставляемых услуг. Service Level Agreement — SLA
Глобальные сети (Wide Area Network — WAN), предлагающие услуги виртуальной частной сети, могут располагать возможностями контроля качества предоставляемых услуг (Quality of Service — QOS). Примерами показателей качества могут служить пропускная способность сети, время ожидания или гарантии сохранности потока данных. Суть соглашения о качестве предоставляемых услуг

Конфиденциальность или исполнение закона?
Дискуссии о том, что важнее: право личности на конфиденциальность информации или исполнение закона и защита общества от действий некоторых его членов, ведутся давно. Но с широким распространением компьютеров и появлением недорогих коммерческих криптографических систем эта проблема предстала в новом свете. Но хорошей новостью является то обстоятельство, что все больше людей осознают эту проблему.

Типы проблем в обеспечении безопасности
От каких способов нарушения защиты должна защищаться организация? Большинство проблем в обеспечении безопасности связаны с такими известными терминами, как вирус, программа-червь и т. д. Отказ в обслуживании: атаки и контратаки

Закупорка или затопление
Закупорка или затопление (flogging or flooding) является разновидностью программы-червя, которая вызывает пересылку большого объема ненужной информации на узел, такой как сервер или маршрутизатор. В результате принимающий компьютер перегружается и не может обслуживать своих пользователей из-за перегрузки своих вычислительных ресурсов. Очевидно, это подходит под описание атаки «отказ в обслуживании»

Лазейка
Лазейка — это механизм, посредством которого можно пробраться в систему. Источник такой возможности кроется в ошибках в организации системы безопасности. Однако, эта «дверь» может быть сознательно включена в текст программы самим программистом. Я, например, нахожу, что такие лазейки достаточно удобны, потому что они давали мне доступ в программное обеспечение, которое стало коммерческим продуктом, но все же в особых случаях требовало моего вмешательства

Cookies
Cookies — это небольшой объем данных, посылаемый с web-сервера для сохранения на локальной машине с тем, чтобы они потом могли быть считаны. Это позволяет экономить время, сохраняя информацию о соединениях данного сервера с данным клиентом. Но, кроме того, это также позволяет системе, которая использует cookies, сохранять информацию о пользователе, что в основном и вызывает споры. Cookies ограничены в правах доступа к компьютеру пользователя, поэтому они не считаются

Апплеты и песочницы
В течение последних нескольких лет Java стала популярным языком программирования, который используется во многих Интернет-приложениях. Этот язык часто выбирают для написания маленьких программ, называемых апплетами. Апплеты предназначены для загрузки на компьютер пользователя с другого компьютера, например сервера. Эта операция предоставляет возможности для нарушений безопасности системы.

Другие проблемы
Существуют и другие проблемы безопасности, и многие из них являются вариантами тех типов, которые были нами рассмотрены. Многие коммерческие программные продукты снабжены средствами зашиты от злоумышленников. Но есть и те, которые таких средств не имеют. В целях безопасности следует ознакомиться с особенностями любой программы, которая используется на компьютере, существенном для работы компании

Защищена ли защищаемая информация?
Важная информация, такая как «защищенная» библиотека программного обеспечения, «защищенное» сообщение или «защищенная» база данных, может быть защищена против одних форм атак и уязвима для других. Уровень безопасности системы зависит от того, какие меры приняты для обеспечения безопасности системы. Нет такого понятия, как полностью защищенная система, так как принятые в системе операции по обеспечению безопасности

Шифрование и дешифрование
Первый термин — «шифрование». Он подразумевает под собой изменение синтаксиса сообщения (открытого текста) для того, чтобы сделать его непонятным для случайного наблюдателя, который воспримет его как случайный набор символов. Эти измененные данные часто называют шифровкой. Дешифрование — это процесс, обратный шифрованию. Он подразумевает изменение зашифрованного

Основные методы шифрования и дешифрования
Шифрование и дешифрование производятся путем перестановки/изменения открытого текста в соответствии с определенным алгоритмом (криптографической функцией) в шифровку. Эта функция имеет два входных параметра: открытый текст и специальная величина, называемая ключом.

Немецкая шифровальная машина Энигма
В качестве другого примера рассмотрим созданную в 1930-х годах знаменитую шифровальную машину «Энигма», которой пользовались немцы во время Второй мировой войны. Машина была рассчитана на ввод данных с клавиатуры. Каждый раз, когда нажималась клавиша, цилиндрическое колесо передвигалось на одну из своих 26 позиций, и таким образом образовывалась новая последовательность для каждой введенной буквы. После 26 нажатий клавиш среднее колесо поворачивалось на одну позицию, а еще после 26 нажатий клавиш третье, и последнее