1.1. Kriptografik Bilgi Koruma Araçlarının Uygulanmasına İlişkin Bu Politika ( Daha öte - Politika ) şifrelemenin işleyişini organize etme ve sağlama prosedürünü belirler ( kriptografik) devlet sırrı teşkil eden bilgileri içermeyen bilgileri korumayı amaçlayan anlamına gelir ( Daha öte - CIPF, kripto anlamına gelir ) Gizli bilgilerin ve kişisel verilerin işlenmesi sırasında güvenliğinin sağlanması amacıyla kullanılması halinde bilgi sistemi Ah.

1.2. Bu Politika aşağıdakilere uygun olarak geliştirilmiştir:

• Federal yasa "Kişisel veriler hakkında" kişisel verilerin güvenliğinin sağlanması alanında Rusya Federasyonu Hükümeti'nin düzenlemeleri;
• 63-FZ Sayılı Federal Kanun "Hakkında Elektronik İmza " ;
• Rusya Federasyonu FSB'nin 378 Sayılı Emri "Rusya Federasyonu Hükümeti'nin korunmasına yönelik gereklilikleri yerine getirmek için gerekli kriptografik bilgi koruma araçlarını kullanarak, kişisel veri bilgi sistemlerinde işlenmesi sırasında kişisel verilerin güvenliğini sağlamaya yönelik organizasyonel ve teknik önlemlerin bileşiminin ve içeriğinin onaylanması üzerine" Her güvenlik düzeyi için kişisel veriler";
• FAPSI Sipariş No. 152 “ Kriptografik bilgi koruma araçlarını kullanarak iletişim kanalları aracılığıyla depolama, işleme ve iletimin güvenliğinin düzenlenmesi ve sağlanmasına ilişkin Talimatların onaylanması üzerine Sınırlı erişim Devlet sırrı teşkil eden bilgiler içermeyen»;
• Rusya Federasyonu FSB'nin Emri N 66 " Şifreleme (kriptografik) bilgi güvenliği araçlarının geliştirilmesi, üretimi, satışı ve işletilmesine ilişkin Yönetmeliğin (PKZ-2005 Yönetmeliği) onaylanması üzerine »;

1.3. Bu Politika, gizli bilgilerin ve kişisel verilerin bilgi sistemlerinde işlendiğinde güvenliğini sağlamak üzere tasarlanmış kripto araçları için geçerlidir;

1.4. Bilgi korumanın kriptografik araçları ( Daha öte - CIPF ), şifreleme ve elektronik imza işlevlerinin uygulanması, kamuya açık internet gibi kamuya açık iletişim kanalları üzerinden veya çevirmeli iletişim kanalları aracılığıyla iletilen elektronik belgeleri korumak için kullanılır.

1.5. Güvenliği sağlamak için CIPF'nin kullanılması gerekir:

• elektronik mesajların işlenmesi için teknolojik süreçlere entegrasyona izin vermek, kriptografik dönüşüm taleplerini işlemek ve sonuçları yayınlamak düzeyinde uygulama yazılımı ile etkileşimi sağlamak;
• geliştiriciler tarafından, anahtar sistemin bir açıklaması, onunla çalışma kuralları ve ayrıca gerekli organizasyon ve personel alımına ilişkin bir gerekçe dahil olmak üzere eksiksiz bir operasyonel dokümantasyon seti sağlanır;
• CIPF'nin çalışmasının günlüğe kaydedilmesi ve CIPF'nin düzenli işleyişinin birlikte gerçekleştiği bir dizi donanım ve yazılım araçlarından oluşan CIPF işleyişi ortamına yönelik yazılımın bütünlüğünü sağlama süreçlerinin sürekliliğini desteklemek ve CIPF gerekliliklerinin yerine getirilmesini etkileyebilecek;
• yetkili bir devlet organı tarafından onaylanmış veya Rusya FSB'sinden izin almış.

1.6. Kişisel verileri korumak için kullanılan CIPF'nin en az KS2 sınıfına sahip olması gerekir.

1.7. CIPF, Rusya Federasyonu'nun ulusal standartlarına, karşı tarafla yapılan sözleşmenin şartlarına uygun algoritmalar temelinde uygulanmaktadır.

1.8. CIPF, lisanslar, ilgili önemli belgeler, CIPF talimatları kuruluş tarafından bağımsız olarak alınır veya güvenli bir belge akışı başlatan üçüncü taraf bir kuruluştan edinilebilir.

1.9. Kurulum medyası, temel belgeler, açıklamalar ve CIPF talimatları dahil olmak üzere CIPF, gizli bilgilere ilişkin Düzenlemeler uyarınca ticari sır teşkil eder.

1. CIPF kullanma prosedürü

2.1. Kriptografik bilgi koruma araçlarının kurulumu ve yapılandırılması, operasyonel belgelere, Rusya Federal Güvenlik Servisi'nin talimatlarına ve güvenli elektronik belge yönetimiyle ilgili diğer kuruluşlara uygun olarak gerçekleştirilir. Kurulum ve konfigürasyonun tamamlanmasının ardından CIPF'nin kullanıma hazır olup olmadığı kontrol edilir, çalıştırılma olasılıkları hakkında sonuçlar çıkarılır ve CIPF devreye alınır.

CIPF'nin ve kripto varlıklarla çalışan diğer ekipmanların güvenli tesislere yerleştirilmesi ve kurulumu, yetkisiz kişilerin bu fonlara kontrolsüz erişim olasılığını en aza indirmelidir. Bu tür ekipmanların bakımı ve kripto anahtarlarının değiştirilmesi, CIPF verileriyle çalışma yetkisi olmayan kişilerin yokluğunda gerçekleştirilir. CIPF'nin yetkisiz kişiler tarafından kullanılma olasılığını ortadan kaldırmak için organizasyonel ve teknik önlemlerin sağlanması gerekmektedir. CIPF'nin fiziksel yerleşimi, CIPF'nin güvenliğini sağlamalı ve CIPF'ye yetkisiz erişimi engellemelidir. Kişilerin koruyucu ekipmanların bulunduğu mekanlara erişimi resmi ihtiyaçlar doğrultusunda sınırlandırılır ve müdür tarafından onaylanan bir liste ile belirlenir.

KS1 ve KS2 sınıfı kripto fonlarının yerleştirilmesi, Rusya FSB'si tarafından kontrol edilmeden gerçekleştirilmektedir ( bilgi sisteminin geliştirilmesine (modernizasyonuna) ilişkin görev tanımında bu kontrolün sağlanmaması durumunda).

KS3, KB1, KB2 ve KA1 sınıfı kripto para birimlerinin yerleştirilmesi yalnızca Rusya FSB'nin kontrolü altında gerçekleştirilmektedir.

KS1, KS2 veya KS3 sınıfı kripto araçlarının yerleştirilmesi, Rusya FSB'sinden uygun lisansa sahip olması durumunda kripto aracının kullanıcısı tarafından veya FSB'den uygun lisansa sahip bir kuruluş tarafından gerçekleştirilebilir. Rusya'nın.

KV1, KV2 veya KA1 sınıfı kripto para birimlerinin yerleştirilmesi, Rusya FSB'sinden uygun lisansa sahip bir kuruluş tarafından gerçekleştirilir.

CIPF'nin hizmet dışı bırakılması, yetkisiz kullanımı kuruluşun ticari faaliyetlerine zarar verebilecek bilgilerin ve bilgi güvenliği araçları tarafından kullanılan bilgilerin kalıcı hafızadan ve kayıtlardan garantili olarak kaldırılmasını sağlayan prosedürlere tabi olarak gerçekleştirilir. harici medya (bakımı ve muhafazası belirli bir süre için ilgili düzenleyici ve (veya) sözleşmeye bağlı belgeler tarafından sağlanan elektronik belge arşivleri ve elektronik etkileşim protokolleri hariç) ve Kanunla resmileştirilmiştir. CIPF yok edildi ( elden çıkarmak) kripto fon sahibinin kararıyla ve kripto fonların kopya bazında muhasebe organizasyonuna uygun olarak sorumlu kuruluşun bildirimi ile.

Yıkılmaya mahkum ( geri dönüşüm) CIPF, birlikte çalıştıkları donanımdan çıkarılabilir. Bu durumda, CIPF'nin operasyonel ve teknik belgelerinde öngörülen kripto araçlarının yazılımını kaldırma prosedürünün tamamlanması ve donanımla olan bağlantılarının tamamen kesilmesi durumunda, kripto araçlarının donanımdan kaldırıldığı kabul edilir.

Kriptografik algoritmaların veya diğer CIPF işlevlerinin donanım uygulaması için özel olarak tasarlanmamış, daha ileri kullanıma uygun genel amaçlı donanım bileşenleri ve parçalarının yanı sıra kripto araçlarıyla birlikte çalışan ekipmanlar ( monitörler, yazıcılar, tarayıcılar, klavyeler vb.), CIPF'nin imha edilmesinden sonra kısıtlama olmaksızın kullanılabilir. Bu durumda ekipmanın hafıza cihazlarında kalabilecek bilgiler ( örneğin yazıcılarda, tarayıcılarda), güvenli bir şekilde çıkarılmalıdır ( silinmiş).

2.2. CIPF'nin işleyişi, kuruluş yöneticisinin emriyle atanan ve onlarla çalışmak üzere eğitilmiş kişiler tarafından gerçekleştirilir. İki veya daha fazla CIPF kullanıcısı varsa, kripto varlıkların güvenliği, anahtar, operasyonel ve teknik belgelerin yanı sıra atanan çalışma alanlarına ilişkin kişisel sorumluluk dikkate alınarak sorumluluklar aralarında dağıtılır.

Kripto fonlarının kullanıcıları şunları yapmakla yükümlüdür:

• CIPF ve diğer koruma önlemlerine ilişkin bilgiler de dahil olmak üzere yetkili oldukları bilgileri ifşa etmeyecekler;
• önemli belgeler hakkındaki bilgileri ifşa etmeyin;
• önemli belgelerin kopyalarının alınmasına izin vermeyin;
• önemli belgelerin görüntülenmesini önleyin ( monitör) kişisel bilgisayar veya yazıcı;
• ana medyaya yabancı bilgilerin kaydedilmesine izin vermeyin;
• önemli belgelerin diğer kişisel bilgisayarlara yüklenmesine izin vermeyin;
• bilgi güvenliğinin sağlanmasına yönelik gerekliliklere, CIPF'nin güvenliğinin sağlanmasına yönelik gerekliliklere ve bununla ilgili temel belgelere uymak;
• Kendileri tarafından bilinen yetkisiz kişilerin, kendileri için kullanılan CIPF veya anahtar belgeler hakkında bilgi edinme girişimlerini rapor etmek;
• CIPF'nin kaybı veya eksikliği hakkındaki gerçekleri, onlar için önemli belgeleri, binaların anahtarlarını, depolama tesislerini, kişisel mühürleri ve korunan bilgilerin ifşa edilmesine yol açabilecek diğer gerçekleri derhal bilgilendirin;
• CIPF'yi, onlar için operasyonel ve teknik belgeleri, kripto para birimlerinin kullanımıyla ilgili görevden alınma veya görevden alınma üzerine önemli belgeleri ibraz edin.

CIPF kullanılarak bilgi işlemenin güvenliği şu şekilde sağlanır:

• Kullanılan CIPF'nin ve onlara verilen anahtar belgelerin güvenliğinin sağlanmasına yönelik işleyiş ve prosedür hakkındaki bilgiler de dahil olmak üzere, kendilerine emanet edilen veya çalışmaları aracılığıyla bilinen bilgileri kullanırken kullanıcıların gizliliğe uyması;
• CIPF kullanıcılarının bilgi güvenliği gerekliliklerine doğru uyumu;
• CIPF için operasyonel ve teknik belgelerin, önemli belgelerin, sınırlı dağıtım ortamının güvenilir şekilde saklanması;
• Yetkisiz kişilerin, korunan bilgiler, kullanılan CIPF veya kendilerine verilen anahtar belgeler hakkında bilgi edinme girişimlerinin zamanında tespiti;
• Korunan bilgilerin ifşa edilmesini önlemek için önlemlerin derhal alınması ve ayrıca CIPF'nin kaybı veya eksikliği, bunlar için önemli belgeler, sertifikalar, geçiş kartları, bina anahtarları, depolama tesisleri, kasalar ( metal dolaplar), kişisel mühürler vb.

CIPF'in organizasyonu ve işleyişine ilişkin sınırlı erişim hizmeti mesajlarının teknik iletişim araçları üzerinden iletilmesi gerekiyorsa, bu mesajların yalnızca kripto araçlar kullanılarak iletilmesi gerekir. Kripto anahtarların merkezi olmayan bir şekilde tedarik edildiği özel olarak organize edilmiş sistemler haricinde, kripto anahtarların teknik iletişim araçları yoluyla transferine izin verilmez.

CIPF, endeksler veya geleneksel isimler ve kayıt numaraları kullanılarak muhasebeye tabidir. Kripto varlıkların endekslerinin, kod adlarının ve kayıt numaralarının listesi Rusya Federasyonu Federal Güvenlik Servisi tarafından belirlenir.

Kullanılan veya saklanan CIPF, bunlara ilişkin operasyonel ve teknik belgeler, anahtar belgeler kopya bazında kayda tabidir. CIPF Kayıt Defterinin formu, bu Politikanın Ek No. 1'inde, Temel Medya Kayıt Defteri ise Ek No. 2'de verilmiştir. Bu durumda yazılımsal kriptografik bilgi koruma sistemlerinin normal çalışmasının yürütüldüğü donanımla birlikte dikkate alınması gerekir. Donanım veya donanım-yazılım CIPF'si sistem veri yoluna veya dahili donanım arayüzlerinden birine bağlıysa, bu tür kripto önlemleri de ilgili donanımla birlikte dikkate alınır.

Anahtar belgelerin kopya bazında muhasebeleştirilmesi birimi, yeniden kullanılabilir bir anahtar ortam, bir anahtar not defteri olarak kabul edilir. Kripto anahtarlarını kaydetmek için aynı anahtar ortamı tekrar tekrar kullanılıyorsa, her seferinde ayrı ayrı kaydedilmesi gerekir.

Kripto varlıklarının alınan tüm kopyaları, bunlar için operasyonel ve teknik belgeler, anahtar belgeler, güvenliklerinden kişisel olarak sorumlu olan kripto varlık kullanıcılarına uygun kopya-kopya kaydında makbuz karşılığında düzenlenmelidir.

CIPF'nin, onlar için operasyonel ve teknik belgelerin ve önemli belgelerin devredilmesine yalnızca kripto varlık kullanıcıları ve (veya) kripto varlıkların sorumlu kullanıcısı arasında, bireysel muhasebe için uygun dergilerdeki bir makbuz karşılığında izin verilir. Kripto fonlarının kullanıcıları arasındaki bu tür transferlere izin verilmelidir.

CIPF kurulum ortamının saklanması, operasyonel ve teknik belgeler, önemli belgeler dolaplarda gerçekleştirilir ( kutular, depolama) bunlara kontrolsüz erişimin yanı sıra kasıtsız olarak imha edilmelerini engelleyen koşullar altında bireysel kullanım için.

CIPF'nin normal şekilde çalıştığı donanımın yanı sıra donanım ve donanım-yazılım CIPF'si de açılmaları üzerinde kontrol araçlarıyla donatılmalıdır ( mühürlü, mühürlü). Mühürleme yeri ( sızdırmazlık) kripto para birimlerinin donanımları görsel olarak izlenebilecek şekilde olmalıdır. Teknik olarak mümkünse, kripto fon kullanıcılarının bulunmadığı durumlarda bu fonların iletişim hattından ayrılarak mühürlü depoya konulması gerekmektedir.

CIPF yazılımında ve CIPF teknik belgelerinde yapılan değişiklikler, CIPF üreticisinden alınan ve sağlama toplamlarının kaydedildiği belgelenen güncellemeler esas alınarak gerçekleştirilir.

CIPF'nin çalışması, yazılımın en az iki yedek kopyasının ve bir yedek kopya anahtar medya. Acil durumlarda CIPF'nin işlevselliğinin geri yüklenmesi operasyonel belgelere uygun olarak gerçekleştirilir.

2.3. İlk anahtar bilgilerden anahtar belgelerin üretimi, Rusya FSB'sinden bir lisans varlığında operasyonel ve teknik belgelerde böyle bir olasılık sağlanmışsa, standart kripto araçları kullanılarak CIPF'nin sorumlu kullanıcıları tarafından gerçekleştirilir. kripto araçları için anahtar belgelerin üretimi.

Anahtar belgeler kurye ile teslim edilebilir ( departman dahil) teslimat sırasında anahtar belgelere kontrolsüz erişimi önlemek için önlemlere tabi olarak, kripto fonlarının özel olarak belirlenmiş sorumlu kullanıcıları ve çalışanları ile iletişim veya iletişim.

Anahtar belgeleri göndermek için, bunların fiziksel hasar ve dış etki olasılığını ortadan kaldıran dayanıklı ambalajlara yerleştirilmesi gerekir. Ambalaj, ambalajın hedeflendiği sorumlu kullanıcıyı belirtir. Bu tür paketler “Kişisel” olarak işaretlenir. Paketler, paketleri ve mühürleri kırmadan içindekilerin çıkarılması mümkün olmayacak şekilde kapatılmıştır.

İlk sınır dışı edilmeden önce ( veya geri dön) muhatap, kendisine gönderilen paketlerin açıklaması ve bunların mühürlenebileceği mühürler hakkında ayrı bir yazıyla bilgilendirilir.

Anahtar belgeleri göndermek için, neyin gönderildiğini ve hangi miktarda gönderildiğini, belge kayıt numaralarını ve gerekirse gönderilen öğenin kullanım amacını ve prosedürünü belirtmesi gereken bir ön yazı hazırlanır. Kapak mektubu paketlerden birine dahildir.

Alınan paketler yalnızca amaçlanan kripto fonlarının sorumlu kullanıcısı tarafından açılır. Alınan paketin içeriği kapak yazısında veya ambalajın kendisinde belirtilenlere uymuyorsa ve mühür bunların açıklamasına uymuyorsa ( damga) ve ayrıca ambalajın hasar görmesi ve içeriğine ücretsiz erişim sağlanması durumunda, alıcı, gönderene gönderilen bir rapor hazırlar. Bu tür gönderilerle alınan anahtar belgelerinin, göndericiden talimat alınana kadar kullanılmasına izin verilmez.

Arızalı anahtar belgeler veya kripto anahtarların bulunması durumunda, arızanın nedenlerinin belirlenmesi ve ileride ortadan kaldırılması amacıyla arızalı ürünün bir kopyası üreticiye iade edilmeli ve geri kalan kopyalar, üreticiden ek talimatlar alınana kadar saklanmalıdır. üretici firma.

Anahtar belgelerin alındığı, ön yazıda belirtildiği şekilde gönderene teyit edilmelidir. Gönderici, eşyalarının alıcılara teslimini kontrol etmekle yükümlüdür. Muhataptan zamanında uygun onay alınmazsa, gönderen ona bir talep göndermeli ve eşyaların yerini açıklığa kavuşturmak için önlemler almalıdır.

Mevcut anahtar belgelerin zamanında değiştirilmesi için bir sonraki anahtar belgelerin üretilmesi, üretilmesi ve kullanım yerlerine dağıtılması siparişi önceden yapılır. Bir sonraki anahtar belgelerin yürürlüğe konulması talimatı, kripto fonlarının sorumlu kullanıcısı tarafından ancak bir sonraki anahtar belgelerin alındığına dair onay alındıktan sonra verilir.

Kullanılmayan veya devre dışı bırakılan anahtar belgeler, kripto fonlarının sorumlu kullanıcısına iade edilmeli veya onun talimatıyla yerinde imha edilmelidir.

Kripto anahtarlarının imhası ( ilk önemli bilgiler) üzerinde bulundukları anahtar medyayı fiziksel olarak yok ederek veya silerek ( yıkım) kripto anahtarları ( ilk önemli bilgiler) anahtar medyaya zarar vermeden ( yeniden kullanılabilirliğini sağlamak için).

Kripto anahtarlar ( ilk önemli bilgiler) ilgili anahtar yeniden kullanılabilir ortam için benimsenen teknoloji kullanılarak yıkanır ( disketler, kompakt diskler (CD-ROM), Veri Anahtarı, Akıllı Kart, Dokunmatik Bellek vb.). Kripto anahtarlarını silmek için doğrudan eylemler ( ilk önemli bilgiler), Ve olası kısıtlamalar karşılık gelen yeniden kullanılabilir anahtar ortamının daha fazla kullanımı, ilgili CIPF'nin operasyonel ve teknik belgelerinin yanı sıra kripto anahtarlarını kaydeden kuruluşun talimatları ile düzenlenir ( ilk önemli bilgiler).

Anahtar ortamlar, kullanım olasılıkları hariç olmak üzere onarılamaz fiziksel hasara neden olarak ve anahtar bilgileri geri yükleyerek imha edilir. Belirli bir anahtar medya türünü yok etmeye yönelik doğrudan eylemler, ilgili CIPF'nin operasyonel ve teknik belgelerinin yanı sıra kripto anahtarlarını kaydeden kuruluşun talimatlarıyla düzenlenir ( ilk önemli bilgiler).

Kağıt ve diğer yanıcı anahtar ortamlar yakılarak veya herhangi bir kağıt kesme makinesi kullanılarak imha edilir.

Önemli belgeler, ilgili CIPF'nin operasyonel ve teknik belgelerinde belirtilen süre sınırları dahilinde imha edilir. İmha gerçeği, ilgili örnek kopya dergilerinde kaydedilir.

Kanuna göre yıkım, en az iki kişiden oluşan bir komisyon tarafından gerçekleştirilir. Kanun neyin, ne miktarda imha edildiğini belirtiyor. Kanunun sonunda, imha edilen önemli belgelerin kopyaları ve öğelerinin sayısı, CIPF ortamının kurulumu, operasyonel ve teknik belgeler hakkında (sayılarla ve kelimelerle) nihai bir kayıt yapılır. Kanun metnindeki düzeltmeler üzerinde anlaşmaya varılmalı ve imhada görev alan tüm komisyon üyelerinin imzaları ile onaylanmalıdır. Yapılan imha ile ilgili olarak bireysel kayıtlar için uygun günlüklere notlar alınır.

Güvenliği ihlal edildiğinden şüphelenilen kripto anahtarlar ve bunlarla birlikte çalışan diğer kripto anahtarlar, CIPF'nin operasyonel ve teknik belgelerinde farklı bir prosedür belirtilmediği sürece derhal kullanımdan kaldırılmalıdır. Acil durumlarda, tehlikeye atılanların yerini alacak kripto anahtarların bulunmadığı durumlarda, kripto fonlarının sorumlu kullanıcısının, operatörle mutabakata varılan kararıyla, tehlikeye atılan kripto anahtarların kullanılmasına izin verilir. Bu durumda ele geçirilen kripto anahtarların kullanım süresi olabildiğince kısa olmalı ve korunan bilgiler olabildiğince değerli olmalıdır.

Kripto anahtarların, bunların bileşenlerinin veya iletilenlerin güvenliğinin ihlal edilmesine yol açabilecek ihlaller hakkında ( saklanmış) Kripto fonu kullanıcıları, verilerinin kullanımıyla ilgili olarak sorumlu kullanıcıyı kripto fonlarına ilişkin bilgilendirmekle yükümlüdür.

Yeniden kullanılabilir anahtar ortamlarının yetkisiz kişiler tarafından incelenmesi, kopyalanma olasılığını dışlıyorsa, kripto anahtarlarının ele geçirildiği şüphesi olarak değerlendirilmemelidir ( okuma, çoğaltma).

Anahtar belgelerin eksik olması, ibraz edilmemesi ve konumlarının belirsiz olması durumunda, sorumlu kullanıcı bunları bulmak ve önemli belgelerden ödün verilmesinin sonuçlarını yerelleştirmek için acil önlemler alır.

1. Anahtar sistem yönetimi prosedürü

Anahtarları yönetme hakkına sahip kişilerin kaydı, CIPF'nin operasyonel belgelerine uygun olarak gerçekleştirilir.

Anahtar yönetimi üç unsuru içeren bir bilgi sürecidir:

— anahtar üretimi;

- anahtarların birikmesi;

- anahtarların dağıtımı.

Organizasyonel bilgi sistemleri rastgele anahtarlar üretmek için özel donanım ve yazılım yöntemleri kullanır. Kural olarak, sözde rastgele sayı sensörleri kullanılır ( Daha öte - PSCH ), nesillerinde oldukça yüksek derecede rastgelelik ile. PRCH'yi şu şekilde hesaplayan yazılım anahtar oluşturucuları: karmaşık fonksiyonşimdiki zamandan ve ( veya) kullanıcı tarafından girilen numara.

Anahtarların birikmesi, bunların depolanması, muhasebeleştirilmesi ve kaldırılmasının organizasyonunu ifade eder.

Özel anahtarlar okunabilecek veya kopyalanabilecek bir ortama açıkça yazılmamalıdır.

Kullanılan anahtarlara ilişkin tüm bilgiler şifrelenmiş biçimde saklanmalıdır. Anahtar bilgilerini şifreleyen anahtarlara ana anahtarlar denir. Her kullanıcının ana anahtarları ezbere bilmesi gerekir; bunların herhangi bir somut ortamda saklanması yasaktır.

Bilgi güvenliğinin sağlanması için bilgi sistemlerindeki anahtar bilgilerin periyodik olarak güncellenmesi gerekmektedir. Bu durumda hem normal anahtarlar hem de ana anahtarlar yeniden atanır.

Anahtarları dağıtırken aşağıdaki gereksinimlerin karşılanması gerekir:

— Dağıtımın verimliliği ve doğruluğu;

— dağıtılmış anahtarların gizliliği.

Bir alternatif, iki kullanıcının güvenli bir şekilde iletişim kurabilecekleri merkezi bir otorite olan Anahtar Dağıtım Merkezi'nden (KDC) paylaşılan bir anahtar almasıdır. CRC ile kullanıcı arasındaki veri alışverişini düzenlemek için, ikincisine kayıt sırasında aralarında iletilen mesajları şifreleyen özel bir anahtar tahsis edilir. Her kullanıcıya ayrı bir anahtar tahsis edilir.

AÇIK ANAHTAR SİSTEMLERİNE DAYALI ANAHTAR YÖNETİMİ

Normal özel anahtarları değiştirmek için genel anahtar şifreleme sistemini kullanmadan önce kullanıcıların genel anahtarlarını değiştirmeleri gerekir.

Genel anahtarlar, çevrimiçi veya çevrimdışı bir dizin hizmeti aracılığıyla yönetilebilir ve kullanıcılar, anahtarları doğrudan da değiştirebilirler.

1. CIPF kullanımının izlenmesi ve kontrolü

CIPF'yi çalıştırırken güvenlik seviyesini arttırmak için, sistemde elektronik mesaj alışverişi sırasında meydana gelen tüm önemli olayları ve tüm bilgi güvenliği olaylarını kaydeden izleme prosedürleri uygulanmalıdır. Bu prosedürlerin tanımı ve listesi CIPF'nin operasyonel belgelerinde oluşturulmalıdır.

Kriptografik bilgi korumasının kullanımı üzerindeki kontrol şunları sağlar:

• bilgi güvenliği araçlarının kurulum ve konfigürasyonunun yanı sıra bilgi güvenliği araçları, düzenleyici ve teknik belgelere ilişkin gerekliliklerin yerine getirilmesini etkileyebilecek donanım ve yazılımların uyumluluğunun izlenmesi;
• bilgi güvenliği araçlarının işleyişinde kullanılan kısıtlı erişim bilgilerinin saklanmasına ilişkin kurallara uygunluğun izlenmesi ( özellikle anahtar, şifre ve kimlik doğrulama bilgileri);
• yetkisiz kişilerin bilgi güvenliği araçlarına ve ayrıca bilgi güvenliği araçlarına ilişkin gerekliliklerin yerine getirilmesini etkileyebilecek donanım ve yazılımlara erişim olasılığının kontrolü;
• bilgi olaylarına müdahale etme kurallarına uygunluğun izlenmesi ( anahtar, parola ve kimlik doğrulama bilgilerinin kaybolması, ele geçirilmesi ve diğer sınırlı erişim bilgileri hakkında);
• CIPF donanım ve yazılım araçlarının uyumluluğunun kontrolü ve bu araçlara ilişkin dokümantasyonun referans örnekleriyle ( Bu tür bir uyumluluğu bağımsız olarak oluşturmanıza olanak tanıyan tedarikçi garantileri veya kontrol mekanizmaları);
• Bu araçların depolanması ve devreye alınması sırasında CIPF donanım ve yazılımının bütünlüğünün ve bu araçlara ilişkin dokümantasyonun izlenmesi ( CIPF belgelerinde açıklanan her iki kontrol mekanizmasını kullanarak ve organizasyonel).

İndirmek sıkıştırılmış dosya (43052)

Belgeler faydalıysa lütfen beğenin veya:

Birçok kişi kriptografiyi tüm kripto para birimlerinin kalbi ve temeli olarak biliyor ancak herkes onu her gün kullandığımız gerçeğini düşünmüyor. Kriptografi yöntemi çoğu modern uygulamada kullanılır ve kişisel verileri meraklı gözlerden gizler.

Kriptografi nedir?

Kriptografi, verileri gizlemenin ve gizliliğini sağlamanın yollarını araştıran bir bilimdir. Bu en eski bilimlerden biridir ve tarihi dört bin yıla yayılmaktadır. "Kriptografi" teriminin kendisi iki eski Yunanca kelime olan "kripto" - gizli, "grafo" - yazıyorum. Yeni başlayanlar için, kriptografinin ilkesi, alfabedeki her karakterin istenen karakterden 3 konum önce olan karakterle değiştirildiği Sezar şifresi örneği kullanılarak açıklanabilir.

Kriptografik kayıtların ilk örnekleri tek alfabeliydi ve MÖ 3. binyıl gibi erken bir tarihte ortaya çıkmaya başladı. Bunlar, metni başka karakterler değiştirilerek değiştirilen kayıtlardı. 9. yüzyıldan itibaren çok alfabeli şifreler, 20. yüzyılın ortalarından itibaren ise elektromekanik şifreler kullanılmaya başlandı ancak basım şifreleri hâlâ kullanılıyordu.

1975'ten önce kriptografi, verilerin şifresinin çözülmesine erişim sağlayan gizli anahtara sahip bir şifreleme yöntemiydi. Daha sonra modern gelişme dönemi başladı ve açık iletişim kanalları üzerinden iletilebilen ve verileri doğrulamak için kullanılabilen açık anahtar şifreleme yöntemleri geliştirildi.

Modern uygulamalı kriptografi, matematik ve bilgisayar bilimlerinin kesişiminde oluşan bir bilimdir. İlgili bir kriptografi bilimi kriptanalizdir. Kriptografi ve kriptanaliz birbiriyle yakından ilişkilidir, yalnızca ikinci durumda gizli bilgilerin şifresini çözme yöntemleri incelenir.

Açık anahtarın değiştirilmesiyle kriptografi daha yaygın hale gelerek bireyler ve ticari kuruluşlar tarafından kullanılmaya başlandı ve 2009 yılında buna dayalı ilk kripto para birimi piyasaya sürüldü. Bu zamana kadar devlet yönetim organlarının ayrıcalığı olarak görülüyordu.

Kriptografi türleri

Kriptografik sistemler çeşitli kriptografi türlerine dayanmaktadır. Toplamda dört ana şifreleme ilkesini ayırt ediyorum:

• Simetrik şifreleme. Bu method verilerin üçüncü şahıslar tarafından ele geçirilmesini önler ve veriyi gönderen ile alıcının şifrelemeyi çözmek için aynı anahtarlara sahip olduğu gerçeğine dayanır.
• Asimetrik şifreleme. Bu yöntem bir genel ve bir özel anahtar içerir. Anahtarlar birbirine bağlıdır; genel anahtarla şifrelenen bilgiler yalnızca ilgili özel anahtarla açığa çıkarılabilir. Bulmacayı çözmek için farklı çiftlerdeki anahtarları kullanmak imkansızdır çünkü bunlar matematiksel bir ilişkiyle birbirine bağlıdır.
• Karma. Yöntem, kaynak bilgilerinin belirli bir örneğin baytlarına dönüştürülmesine dayanmaktadır. Bilginin dönüştürülmesine karma işlevi denir ve ortaya çıkan sonuç bir karma koddur. Tüm karma kodların benzersiz bir karakter dizisi vardır.
• Elektronik İmza. Bu, belgenin gerçekliğini ve veri bozulmasının olmadığını doğrulamanıza olanak tanıyan özel bir anahtar kullanarak bilgilerin dönüştürülmesidir.

Yetenekler ve uygulamalar

Kriptografi başlangıçta hükümet tarafından belgeleri güvenli bir şekilde saklamak veya iletmek için kullanıldı. Modern asimetrik şifreleme algoritmaları BT güvenliği alanında daha yaygın olarak kullanılmaya başlandı ve simetrik yöntemler artık öncelikle depolama sırasında bilgilere yetkisiz erişimi önlemek için kullanılıyor.

Kriptografik yöntemler özellikle aşağıdakiler için kullanılır:

• bilgilerin ticari ve özel kuruluşlar tarafından güvenli bir şekilde saklanması;
• dijital elektronik imza sistemlerinin uygulanması;
• sertifikaların doğruluğunun onaylanması;
• Açık iletişim kanalları üzerinden güvenli çevrimiçi veri iletimi.

Kriptografi ve blockchain

Blockchain'de, bireylerin ve kişisel verilerin gizliliğini korumak ve sağlamak, işlemlerin yüksek güvenliğini sağlamak için kriptografi kullanılır, güvenilir koruma tüm sistem ve depolama.

Karma işlevler

Blok zincirindeki hash işlevleri birbirine bağlıdır; onların yardımıyla bilgi koruması ve işlemin geri döndürülemezliği sağlanır. Her yeni işlem bloğu, önceki bloğun hash'iyle ilişkilendirilir ve bu da kendisinden önce oluşturulan son bloğun hash'ine göre oluşturulur. Böylece her yeni işlem bloğu, önceki bloklarla ilgili tüm bilgileri içerir ve taklit edilemez veya değiştirilemez.

Blockchain zincirine yeni bir bloğun eklenebilmesi için ağın genel bir fikir birliğine varması ve yeni bloğun hash değerini seçmesi gerekir. Bunu yapmak için madenciler, bilgisayar teknolojisinin yardımıyla, işlevin değeri için birçok "tek seferlik" seçenek sunar. Rastgele seçim yoluyla önceki verilerle kombinasyona uygun bir karma oluşturmayı başaran ilk madenci, onunla zincire dahil olan bir bloğu imzalar ve yeni blok zaten onunla ilgili bilgileri içerecektir.

Blockchain'de hash teknolojisinin kullanılması sayesinde sistemde gerçekleştirilen tüm işlemler yeni bir bloğun hash'i olarak ifade edilebilmektedir. Hashing yöntemi sistemi hacklemeyi neredeyse imkansız hale getiriyor ve her yeni bloğun eklenmesiyle blockchain'in saldırılara karşı direnci daha da artıyor.

Dijital imzalar

Blockchain, genel ve . Genel anahtar, madeni paraların saklanacağı adres, gizli anahtar ise ona erişim için şifre görevi görüyor. Özel anahtar, genel anahtara dayanır ancak matematiksel olarak hesaplanamaz.

Birçok genel anahtar şifreleme şeması arasında en yaygın olanı eliptik eğri şeması ve çarpanlara ayırma şemasıdır. Bitcoin'de ilk şema söz konusudur - eliptik eğriler. Özel anahtar 32 bayt, genel anahtar 33 bayt ve imza yaklaşık 70 bayttır.

Açık anahtar şifrelemesi

Blockchain sisteminde madeni paraları aktarmak için modern genel anahtar şifrelemesi kullanılır.

Aptallar için, açık anahtar şifrelemesinin prensibi bir işlem örneği kullanılarak açıklanabilir. Diyelim ki gönderen kişi 1 bitcoin göndermek istiyor. Bunu yapmak için, madalyonun nereden alınması gerektiğini ve nereye gönderileceğini (alıcının genel anahtarı) belirten bir işlem göndermesi gerekiyor. Bir işlem oluşturulduğunda gönderenin bunu kendi özel anahtarıyla imzalaması gerekir. Daha sonra iletişim düğümleri, gönderenin gizli anahtarının, madalyonun halihazırda ilişkili olduğu genel anahtarıyla uygunluğunu kontrol eder. Koşullar karşılanırsa, yani gönderenin genel ve özel anahtarları birbirine bağlanırsa, gönderilen para, alıcının zaten genel anahtarıyla ilişkilendirilmeye başlayacaktır.

Çözüm

Kriptografi, modern dünyanın önemli bir bileşenidir ve her şeyden önce kişisel verileri ve önemli bilgileri kaydetmek için gereklidir. Kurulduğu günden bu yana birçok değişikliğe uğramış ve artık hacklenmesi pek mümkün olmayan bir güvenlik sistemi haline gelmiştir. İnsanlık için potansiyelini abartmak zordur. Verilerin güvenli iletimi veya depolanmasına ihtiyaç duyulan hemen hemen tüm endüstrilerde modern kriptografi yöntemleri kullanılmaktadır.

Bilgi sistemlerinin tasarımında bilgi güvenliği gereksinimleri, kullanılan bilgi koruma araçlarını karakterize eden özellikleri gösterir. Bunlar, özellikle bilgi güvenliği alanındaki düzenleyicilerin çeşitli eylemleriyle, özellikle de FSTEC ve Rusya FSB'siyle tanımlanır. Hangi güvenlik sınıflarının olduğu, koruma araçlarının türleri ve türleri ile bunun hakkında daha fazla bilginin nereden öğrenileceği makalede yansıtılmıştır.

giriiş

Günümüzde bilgi güvenliğinin sağlanmadığı her yerde kullanıma sunulan teknolojiler yeni ciddi sorunların kaynağı haline geldiğinden, bilgi güvenliğinin sağlanması konuları da yakından ilgi görmektedir.

Rusya FSB'si durumun ciddiyetini bildiriyor: Siber suçluların dünya çapında birkaç yılda neden olduğu zararın miktarı 300 milyar dolardan 1 trilyon dolara kadar değişiyor. Rusya Federasyonu Başsavcılığının verdiği bilgiye göre, yalnızca 2017 yılının ilk yarısında Rusya'da yüksek teknolojiler alanında işlenen suçların sayısı altı kat artarken, toplam zarar miktarı 18 milyon doları aştı. 2017 yılında dünya genelinde sanayi sektörüne yönelik hedefli saldırılar dikkat çekti. Özellikle Rusya'da 2016'ya göre saldırı sayısında artış yüzde 22 oldu.

Bilgi teknolojileri askeri-politik, terörist amaçlarla, egemen devletlerin iç işlerine müdahale etmek ve diğer suçları işlemek için silah olarak kullanılmaya başlandı. Rusya Federasyonu uluslararası bir bilgi güvenliği sisteminin oluşturulmasından yanadır.

Rusya Federasyonu topraklarında, bilgi sahiplerinin ve bilgi sistemi operatörlerinin, bilgiye yetkisiz erişim girişimlerini engellemeleri ve ayrıca BT altyapısının güvenlik durumunu sürekli olarak izlemeleri gerekmektedir. Aynı zamanda teknik olanlar da dahil olmak üzere çeşitli önlemler alınarak bilgilerin korunması sağlanır.

Bilgi güvenliği araçları veya bilgi koruma sistemleri, esasen veritabanlarında saklanan bilgilerin, işlenmesini sağlayan bilgi teknolojilerinin ve teknik araçların bir koleksiyonu olan bilgi sistemlerinde bilgilerin korunmasını sağlar.

Modern bilgi sistemleri, çeşitli donanım ve yazılım platformlarının kullanımı, bileşenlerin bölgesel dağıtımı ve açık veri ağlarıyla etkileşim ile karakterize edilir.

Bu gibi durumlarda bilgiler nasıl korunur? İlgili gereklilikler yetkili kurumlar, özellikle FSTEC ve Rusya FSB'si tarafından sunulmaktadır. Makale çerçevesinde bilgi güvenliği sistemlerinin sınıflandırılmasına yönelik temel yaklaşımları bu düzenleyicilerin gerekliliklerini dikkate alarak yansıtmaya çalışacağız. Rus departmanlarının yanı sıra yabancı kurum ve kuruluşların düzenleyici belgelerinde yansıtılan bilgi güvenliği sınıflandırmasını tanımlamanın diğer yolları bu makalenin kapsamı dışındadır ve daha fazla ele alınmayacaktır.

Makale, bilgi güvenliği alanındaki acemi uzmanlar için, Rusya FSTEC'inin (büyük ölçüde) ve kısaca Rusya FSB'sinin gereksinimlerine dayalı olarak bilgi güvenliğini sınıflandırma yöntemleri hakkında yapılandırılmış bir bilgi kaynağı olarak yararlı olabilir.

Kriptografik olmayan yöntemler kullanarak bilgi güvenliğinin sağlanması prosedürünü belirleyen ve koordine eden yapı, Rusya FSTEC'dir (eski adıyla Rusya Federasyonu Başkanına bağlı Devlet Teknik Komisyonu, Devlet Teknik Komisyonu).

Okuyucu, Rusya FSTEC tarafından oluşturulan Sertifikalı Bilgi Güvenliği Araçları Devlet Kaydını görmüşse, bilgi koruma sisteminin amacının açıklayıcı kısmında “RD SVT” gibi ifadelerin varlığına kesinlikle dikkat etmiştir. sınıfı”, “uyumsuzluk verilerinin uyumsuzluk düzeyi” vb. (Şekil 1) .

Şekil 1. Sertifikalı bilgi koruma cihazlarının kaydının parçası

Kriptografik bilgi güvenliği araçlarının sınıflandırılması

Rusya FSB'si, kriptografik bilgi koruma sistemleri sınıflarını tanımlamıştır: KS1, KS2, KS3, KV ve KA.

KS1 sınıfı IPS'nin temel özellikleri arasında, kontrollü alanın dışından gerçekleştirilen saldırılara dayanma yeteneği yer alır. Bu, saldırı yöntemlerinin oluşturulmasının, hazırlanmasının ve uygulanmasının, kriptografik bilgi güvenliğinin geliştirilmesi ve analizi alanındaki uzmanların katılımı olmadan gerçekleştirildiği anlamına gelir. Belirtilen bilgi güvenliği sistemlerinin kullanıldığı sisteme ilişkin bilgilerin açık kaynaklardan elde edilebileceği varsayılmaktadır.

Bir kriptografik bilgi güvenliği sistemi, KS1 sınıfı aracılığıyla engellenen saldırıların yanı sıra kontrollü alanda gerçekleştirilen saldırılara da dayanabiliyorsa, bu tür bilgi güvenliği KS2 sınıfına karşılık gelir. Örneğin bir saldırının hazırlanması sırasında bilgi sistemlerini korumaya yönelik fiziksel önlemler, kontrollü bir alanın sağlanması vb. hakkında bilgilerin elde edilebileceği varsayılmaktadır.

Kriptografik güvenlik bilgilerinin yüklü olduğu bilgisayar donanımına fiziksel erişim varsa, saldırılara direnmek mümkünse bu donanımın KS3 sınıfına uygun olduğu söylenir.

Kriptografik bilgi güvenliği, araştırma merkezleri de dahil olmak üzere bu araçların geliştirilmesi ve analizi alanında uzmanların dahil olduğu saldırılara direniyorsa ve güvenlik araçlarına ilişkin laboratuvar çalışmaları yapmak mümkünse, o zaman HF sınıfına uygunluktan bahsediyoruz .

Saldırı yöntemlerinin geliştirilmesinde NDV sistem yazılımını kullanma alanındaki uzmanlar yer almışsa, ilgili tasarım belgeleri mevcutsa ve kriptografik bilgi güvenliği sistemlerinin herhangi bir donanım bileşenine erişim mevcutsa, bu tür saldırılara karşı koruma şu şekilde sağlanabilir: KA sınıfı.

Elektronik imza koruma araçlarının sınıflandırılması

Elektronik imza araçları, saldırılara dayanma yeteneklerine bağlı olarak genellikle şu sınıflarla karşılaştırılır: KS1, KS2, KS3, KB1, KB2 ve KA1. Bu sınıflandırma yukarıda kriptografik bilgi güvenliğiyle ilgili olarak tartışılana benzer.

sonuçlar

Makale, temeli bilgi koruma alanındaki düzenleyicilerin düzenleyici çerçevesi olan Rusya'da bilgi güvenliğini sınıflandırmanın bazı yöntemlerini inceledi. Dikkate alınan sınıflandırma seçenekleri kapsamlı değildir. Yine de sunulan özet bilgilerin, bilgi güvenliği alanında acemi bir uzmanın hızlı bir şekilde gezinmesine olanak sağlayacağını umuyoruz.

Kriptografik bilgi korumasının (CIPF) araçları arasında donanım, yazılım-donanım ve yazılım bilgileri dönüştürmek için şifreleme algoritmalarının aşağıdaki amaçlarla uygulanması:

AU'nun taşıma ortamı aracılığıyla işlenmesi, depolanması ve iletilmesi sırasında bilgilerin korunması;

Bilginin güvenilirliğini ve bütünlüğünü sağlamak (algoritmaların kullanılması dahil) elektronik imza) AC taşıma ortamı yoluyla işlenmesi, depolanması ve iletilmesi sırasında;

Kişileri, kullanıcıları ve cihazları tanımlamak ve doğrulamak için kullanılan bilgilerin üretilmesi;

Korunan bir AS'nin kimlik doğrulama unsurlarını, bunların oluşturulması, saklanması, işlenmesi ve iletilmesi sırasında korumak için kullanılan bilgilerin üretilmesi.

CIPF'nin bazı AS'lerde (birkaç kaynakta - bir bilgi ve telekomünikasyon sistemi veya iletişim ağı) güvenlik politikasını uygulama ve garanti etme mekanizmalarıyla birlikte kullanıldığı varsayılmaktadır.

Kriptografik dönüşümün bir dizi önemli özelliği vardır:

CIPF belirli bir bilgi dönüştürme algoritması uygular (şifreleme, elektronik dijital imza, bütünlük kontrolü)

Kriptografik dönüşümün giriş ve çıkış argümanları AS'de bazı maddi formlarda (AS nesneleri) mevcuttur.

CIPF, çalışmak için bazı gizli bilgileri (anahtarlar) kullanır.

Kriptografik dönüşüm algoritması, etkileşime giren bazı maddi nesneler biçiminde uygulanır. çevre(korunan AS'nin konuları ve nesneleri dahil).

Dolayısıyla, korumalı bir AS'de CIPF'nin rolü nesnelerin dönüştürülmesidir. Her özel durumda, bu dönüşümün kendine has özellikleri vardır. Bu nedenle, şifreleme prosedürü girdi parametreleri olarak nesne - düz metin ve nesne - anahtarını kullanır, dönüşümün sonucu nesne - şifreli metindir; aksine, şifre çözme prosedürü şifreli metni ve anahtarı girdi olarak kullanır; Dijital imza ayarlama prosedürü, giriş parametreleri olarak nesneyi - mesajı ve nesneyi - imzanın gizli anahtarını kullanır, dijital imzanın sonucu nesnedir - kural olarak imza, nesneye entegre edilmiştir - mesaj . CIPF'nin nesneleri anlamsal düzeyde koruduğunu söyleyebiliriz. Aynı zamanda, nesneler - kriptografik dönüşüm parametreleri tam teşekküllü AS nesneleridir ve bazı güvenlik politikalarının nesneleri olabilir (örneğin, şifreleme anahtarları yetkisiz erişime karşı korunabilir ve korunmalıdır, dijital imzayı değişikliklerden doğrulamak için genel anahtarlar). Dolayısıyla, güvenli AS'lerin bir parçası olan kriptografik bilgi koruma cihazlarının belirli bir uygulaması vardır - bu, bir bilgisayarda yerleşik ayrı bir özel cihaz veya özel bir program olabilir. Aşağıdaki noktalar önemlidir:

CIPF, dış ortamla bilgi alışverişinde bulunur, yani: içine anahtarlar girilir, şifreleme sırasında düz metin

Donanım uygulama kullanımları durumunda CIPF eleman tabanı sınırlı güvenilirlik (yani CIPF'yi oluşturan parçalarda arızalar veya arızalar olabilir)

Yazılım uygulaması durumunda CIPF, sınırlı güvenilirliğe sahip bir işlemci üzerinde ve aşağıdakileri içeren bir yazılım ortamında yürütülür: üçüncü taraf programları işin çeşitli aşamalarını etkileyebilecek

CIPF, somut bir ortamda saklanır (yazılım uygulaması durumunda) ve depolama sırasında kasıtlı veya kazara bozulabilir

CIPF, dış ortamla dolaylı olarak etkileşime girer (şebekeden güç alır, elektromanyetik alanlar yayar)

CIPF, geliştirme ve çalıştırma sırasında hata (kasıtlı veya kazara) yapabilecek bir kişi tarafından üretilir ve/veya kullanılır.

Telekomünikasyon ağlarında mevcut veri koruma araçları, anahtar sistemi ve kimlik doğrulama sistemi oluşturma prensibine göre iki gruba ayrılabilir. Birinci grup, bir anahtar sistemi ve kimlik doğrulama sistemi oluşturmak için simetrik kriptografik algoritmaları kullanan araçları içerir, ikinci grup ise asimetrik olanları içerir.

Bu sistemlerin karşılaştırmalı bir analizini yapalım. İletime hazır, başlangıçta açık ve korumasız olan bir bilgi mesajı şifrelenir ve böylece bir şifregrama, yani kapalı bir metne veya bir belgenin grafik görüntüsüne dönüştürülür. Bu formda mesaj güvenli olmasa bile bir iletişim kanalı üzerinden iletilir. Yetkili bir kullanıcı, bir mesajı aldıktan sonra, kriptogramı ters dönüştürerek mesajın şifresini çözer (yani açar), bu da mesajın yetkili kullanıcılar tarafından erişilebilen orijinal, açık biçimini sağlar. Bir kriptografik sistemdeki dönüştürme yöntemi, özel bir algoritmanın kullanılmasına karşılık gelir. Böyle bir algoritmanın çalışması, genellikle şifreleme anahtarı olarak adlandırılan benzersiz bir sayı (bit dizisi) tarafından tetiklenir.

Çoğu sistem için anahtar oluşturucu devresi, bir donanım parçası veya bir dizi talimat ve komut olabilir. bilgisayar programı veya bunların hepsi bir arada, ancak her durumda şifreleme (şifre çözme) işlemi yalnızca bu özel anahtar tarafından gerçekleştirilir. Şifrelenmiş veri alışverişinin başarılı olması için hem gönderenin hem de alıcının doğru anahtar ayarını bilmesi ve bunu gizli tutması gerekir. Herhangi bir kapalı iletişim sisteminin gücü, içinde kullanılan anahtarın gizlilik derecesine göre belirlenir. Ancak bu anahtarın diğer ağ kullanıcıları tarafından serbestçe şifrelenmiş mesaj alışverişi yapabilmeleri için bilinmesi gerekir. Bu anlamda kriptografik sistemler, alınan bilgilerin kimlik doğrulaması (doğruluğunun belirlenmesi) sorununun çözülmesine de yardımcı olur. Bir mesajın ele geçirilmesi durumunda, saldırgan yalnızca şifrelenmiş metinle ilgilenecek ve kendisinin ve gönderenin bildiği bir anahtarla özel mesajlar alan gerçek alıcı, olası yanlış bilgilerden güvenilir bir şekilde korunacaktır. Ayrıca bilgileri ve daha fazlasını şifrelemek mümkündür. basit bir şekilde- sözde rastgele sayı üreteci kullanarak. Bir sözde rastgele sayı üretecinin kullanımı, belirli bir anahtar verilen bir sözde rastgele sayı üretecini kullanarak bir şifre gama oluşturmayı ve elde edilen gama'nın, tersine çevrilebilir bir şekilde açık verilere uygulanmasını içerir. Bu kriptografik koruma yönteminin uygulanması oldukça kolaydır ve oldukça yüksek bir şifreleme hızı sağlar, ancak şifre çözmeye karşı yeterince dayanıklı değildir.

Klasik kriptografi, göndericinin bir mesajı şifrelemesine ve alıcının da şifreyi çözmesine olanak tanıyan bir gizli birimin (anahtar) kullanılmasıyla karakterize edilir. Manyetik veya başka bir depolama ortamında depolanan verilerin şifrelenmesi durumunda, anahtar, ortama yazarken bilgileri şifrelemenize ve medyadan okurken şifresini çözmenize olanak tanır.

"Bilgi güvenliğinin organizasyonel ve yasal yöntemleri"

Devlet sırlarına, düzenleyici ve referans belgelere ilişkin temel düzenleyici kılavuz belgeler

Bugün ülkemiz, bilgilerin korunması alanında istikrarlı bir yasal çerçeve oluşturmuştur. Temel kanuna Rusya Federasyonu Federal Kanunu “Bilgi, Bilgi Teknolojileri ve Bilginin Korunması Hakkında” denilebilir. “Bilgi koruma alanındaki ilişkilerin devlet düzenlemesi, bilgilerin korunmasına ilişkin gerekliliklerin yanı sıra Rusya Federasyonu'nun bilgi, bilgi teknolojisi ve bilginin korunmasına ilişkin mevzuatının ihlali sorumluluğunun belirlenmesiyle gerçekleştirilir.” Kanun ayrıca şunları da belirler: Bilgi sahiplerinin ve bilgi sistemleri operatörlerinin sorumlulukları.

Bilgi güvenliğinin “kodlanmış” düzenlemesine gelince, Rusya Federasyonu İdari Suçlar Kanunu ve Rusya Federasyonu Ceza Kanunu normları da gerekli maddeleri içermektedir. Sanatta. Rusya Federasyonu İdari Suçlar Kanunu'nun 13.12'si bilgi koruma kurallarının ihlalinden bahsediyor. Ayrıca Sanat. 13.13, ceza öngörmektedir Yasa dışı aktiviteler bilgi güvenliği alanında. Ve Sanat. 13.14. Kısıtlanmış bilgilerin ifşa edilmesi durumunda cezalar öngörmektedir. Madde 183. Rusya Federasyonu Ceza Kanunu, ticari, vergi veya bankacılık sırlarını oluşturan bilgilerin yasadışı olarak alınması ve ifşa edilmesi için ceza öngörmektedir.

“Bilgi, Bilgilendirme ve Bilginin Korunması Hakkında” Federal Kanunu, Rusya Federasyonu'nun devlet bilgi kaynaklarının açık ve kamuya açık olmasını şart koşmaktadır. Bunun istisnası, kanunen sınırlı erişim olarak sınıflandırılan belgelenmiş bilgilerdir.

Devlet sırrı kavramı, “Devlet Sırları Hakkında Kanun”da “askeri, dış politika, ekonomik, istihbarat, karşı istihbarat ve operasyonel soruşturma faaliyetleri alanında devletin koruduğu, yayılması güvenliğe zarar verebilecek bilgiler” olarak tanımlanmaktadır. Rusya Federasyonu'nun." Bu nedenle, devletin, toplumun ve vatandaşların çıkarları dengesine dayalı olarak Kanunun uygulama kapsamı belirli faaliyet türleriyle sınırlıdır: askeri, dış politika, ekonomik, istihbarat, karşı istihbarat ve operasyonel soruşturma.

Kanun, ana kriterin gizli bilgilerin devlete ait olması olduğunu belirledi.

Kanun ayrıca, devlet sırlarının korunması alanında bir dizi organın, özellikle de devlet sırlarının korunmasına yönelik bakanlıklar arası komisyonun oluşturulmasını öngörmüş, bilgileri devlet sırrı olarak sınıflandırma yetkisine sahip yetkililer kurumunu tanıtmış, aynı zamanda aynı zamanda sorumluluk alanlarındaki devlet sırlarını korumaya yönelik faaliyetler için kendilerine kişisel sorumluluk verme süresi.

Genel organizasyonÜlkede teknik yollarla işlenen bilgilerin korunmasına yönelik çalışmaların koordinasyonu ve koordinasyonu, bir meslek kuruluşu olan Rusya Federasyonu Başkanı'na bağlı Rusya Federal Teknik ve İhracat Kontrol Servisi (FSTEK) tarafından yürütülür. devlet kurumları ve savunma çalışmaları ve diğer gizli konuları yürüten işletmelerde.

Devlet düzeyinde bilgi güvenliğinin sağlanması alanındaki amaç ve görevler

Rusya Federasyonu'nun bilgi güvenliğini sağlamaya yönelik devlet politikası, federal hükümet organlarının ve Rusya Federasyonu'nun kurucu kuruluşlarının hükümet organlarının bu alandaki ana faaliyet alanlarını, Rusya Federasyonu'nun çıkarlarını korumaya yönelik sorumluluklarını birleştirme prosedürünü belirler. faaliyetleri çerçevesinde bilgi alanıdır ve bilgi alanında birey, toplum ve devletin çıkarları dengesinin korunmasına dayanmaktadır. Rusya Federasyonu'nun bilgi güvenliğini sağlamaya yönelik devlet politikası aşağıdaki temel ilkelere dayanmaktadır: bilgi sağlamaya yönelik faaliyetler yürütülürken Rusya Federasyonu Anayasası'na, Rusya Federasyonu mevzuatına, genel olarak kabul edilen uluslararası hukuk ilke ve normlarına uygunluk Rusya Federasyonu'nun güvenliği; federal hükümet organlarının, Rusya Federasyonu'nun kurucu kuruluşlarının hükümet organlarının ve kamu derneklerinin işlevlerinin uygulanmasında açıklık; Rusya Federasyonu mevzuatı tarafından belirlenen kısıtlamaları dikkate alarak, faaliyetleri hakkında halkı bilgilendirmeyi sağlamak; Siyasi, sosyal ve ekonomik statüleri ne olursa olsun, bilgi etkileşimi sürecindeki tüm katılımcıların yasal eşitliği; vatandaşların herhangi bir yasal yolla bilgiyi özgürce arama, alma, iletme, üretme ve yayma anayasal haklarına dayanarak; yerli modern bilgi ve telekomünikasyon teknolojilerinin öncelikli geliştirilmesi, ulusal telekomünikasyon ağlarının iyileştirilmesini sağlayabilecek donanım ve yazılım üretimi, Rusya Federasyonu'nun hayati çıkarlarına uymak için bunların küresel bilgi ağlarına bağlanması.

Devlet, Rusya Federasyonu'nun bilgi güvenliğini sağlamaya yönelik işlevlerini yerine getirme sürecinde: Rusya Federasyonu'nun bilgi güvenliğine yönelik tehditlerin objektif ve kapsamlı bir analizini ve tahminini yapar, bunu sağlamak için önlemler geliştirir; Rusya Federasyonu'nun bilgi güvenliğine yönelik tehditleri önlemeyi, püskürtmeyi ve etkisiz hale getirmeyi amaçlayan bir dizi önlemi uygulamak için Rusya Federasyonu'nun devlet gücünün yasama (temsilci) ve yürütme organlarının çalışmalarını düzenler; Toplumu çarpık ve güvenilmez bilgilerden koruyan, kamu yaşamının sosyal açıdan önemli olayları hakkında halkı objektif olarak bilgilendirmeyi amaçlayan kamu derneklerinin faaliyetlerini destekler; bilgi güvenliği alanındaki faaliyetlerin belgelendirilmesi ve lisanslanması yoluyla bilgi güvenliği araçlarının tasarımı, oluşturulması, geliştirilmesi, kullanımı, ihracatı ve ithalatı üzerinde kontrol uygular; Rusya Federasyonu topraklarındaki bilişim ve bilgi koruma araçları üreticilerine yönelik gerekli korumacı politikayı izler ve iç pazarı düşük kaliteli bilişim araçlarının ve bilgi ürünlerinin sızmasına karşı korumak için önlemler alır; fiziki ve sosyal olanakların sağlanmasına katkıda bulunur. tüzel kişiler dünya bilgi kaynaklarına, küresel bilgi ağlarına erişim; Rusya'nın devlet bilgi politikasını formüle eder ve uygular; Rusya Federasyonu'nun bilgi güvenliğini sağlamak için devlet ve devlet dışı kuruluşların bu alandaki çabalarını birleştirerek federal bir programın geliştirilmesini organize eder; küreselleşmenin uluslararasılaşmasına katkıda bulunur bilgi ağları ve sistemlerin yanı sıra Rusya'nın eşit ortaklık temelinde küresel bilgi topluluğuna girişi.

Bilgi alanında ortaya çıkan halkla ilişkileri düzenlemek için yasal mekanizmaların geliştirilmesi, Rusya Federasyonu'nun bilgi güvenliğinin sağlanması alanında devlet politikasının öncelikli yönüdür.

Bu şunları içerir: bilgi alanında mevcut yasal ve diğer düzenleyici yasal düzenlemelerin uygulanmasının etkililiğinin değerlendirilmesi ve bunların iyileştirilmesi için bir program geliştirilmesi; bilgi güvenliğini sağlamak için organizasyonel ve yasal mekanizmaların oluşturulması; bilgi ve telekomünikasyon sistemlerinin kullanıcıları da dahil olmak üzere bilgi alanındaki tüm ilişki konularının hukuki statüsünün belirlenmesi ve bu alandaki Rusya Federasyonu mevzuatına uyum sorumluluğunun belirlenmesi; Rusya Federasyonu'nun bilgi güvenliğine yönelik tehditlerin kaynakları ve bunların uygulanmasının sonuçları hakkında veri toplamak ve analiz etmek için bir sistemin oluşturulması; bilgi alanındaki yasa dışı eylemlerin gerçeklerine ilişkin soruşturmanın organizasyonunu ve yargılama prosedürünü ve ayrıca bu yasa dışı eylemlerin sonuçlarını ortadan kaldırma prosedürünü belirleyen normatif yasal düzenlemelerin geliştirilmesi; cezai, hukuki, idari, disiplin sorumluluğunun özelliklerini ve ilgili kuralların dahil edilmesini dikkate alarak suçların geliştirilmesi yasal normlar ceza, medeni, idari ve iş kanunlarına, Rusya Federasyonu'nun kamu hizmeti mevzuatına; Rusya Federasyonu'nun bilgi güvenliğinin sağlanması alanında kullanılan personel eğitim sisteminin iyileştirilmesi.

Rusya Federasyonu'nun bilgi güvenliğinin hukuki desteği, her şeyden önce, bilgi alanında yasallık ilkelerine, vatandaşların, toplumun ve devletin çıkarlarının dengesine uyulmasına dayanmalıdır. Yasallık ilkesine uygunluk, bilgi alanında ortaya çıkan çatışmaları çözerken, federal hükümet organlarının ve Rusya Federasyonu'nun kurucu kuruluşlarının hükümet organlarının, bu alandaki ilişkileri düzenleyen yasal ve diğer düzenleyici yasal düzenlemeler tarafından sıkı bir şekilde yönlendirilmesini gerektirir. Bilgi alanında vatandaşların, toplumun ve devletin çıkarlarının dengelenmesi ilkesine uyum, bu çıkarların önceliğinin toplum yaşamının çeşitli alanlarında yasal olarak sağlamlaştırılmasının yanı sıra faaliyetler üzerinde kamu kontrol biçimlerinin kullanılması anlamına gelir. federal devlet otoriteleri ve Rusya Federasyonu'nun kurucu kuruluşlarının devlet otoriteleri. Bilgi alanındaki faaliyetlerle ilgili kişi ve vatandaşın anayasal hak ve özgürlüklerine ilişkin garantilerin uygulanması, devletin bilgi güvenliği alanındaki en önemli görevidir. Rusya Federasyonu'nun bilgi güvenliğinin hukuki desteğine yönelik mekanizmaların geliştirilmesi, hukuki alanın bir bütün olarak bilgilendirilmesine yönelik önlemleri içermektedir. Federal devlet yetkililerinin, Rusya Federasyonu'nun kurucu kuruluşlarının devlet yetkililerinin ve bilgi alanındaki diğer ilişki konularının çıkarlarını belirlemek ve koordine etmek, gerekli kararları geliştirmek için devlet, kamu konseylerinin, komitelerinin ve komitelerinin oluşumunu destekler. Kamu derneklerinin geniş bir temsiliyle komisyonlar kurar ve bunların etkili çalışmalarının örgütlenmesini destekler.

Kriptografik hizmetlerin sertifikasyonu ve standardizasyonunun özellikleri

Kriptografik teknolojileri geliştiren hemen hemen tüm ülkelerde, kriptografik bilgi koruma araçlarının geliştirilmesi devlet düzenlemesi alanına aittir. Devlet düzenlemesi, kural olarak, kriptografik araçların geliştirilmesi ve işletilmesiyle ilgili faaliyetlerin lisanslanmasını, kriptografik bilgi koruma araçlarının sertifikalandırılmasını ve kriptografik dönüşüm algoritmalarının standardizasyonunu içerir.

Aşağıdaki faaliyet türleri lisanslamaya tabidir: Devlet veya yasal olarak korunan diğer sırları oluşturan bilgileri içeren bilgilerin iletişim kanalları aracılığıyla işlenmesi, saklanması ve iletilmesi sırasında kriptografik olarak korunmasına yönelik şifreleme araçlarının geliştirilmesi, üretimi, sertifika testi, satışı, işletilmesi, bu bilgilerin şifrelenmesi alanında hizmetlerin sağlanması; Rusya Federasyonu'nun en yüksek devlet organlarının telekomünikasyon sistemlerinin ve komplekslerinin geliştirilmesi, üretimi, sertifikasyon testleri, işletilmesi; Rusya Federasyonu'nun kurucu kuruluşlarının yetkililerinin, merkezi federal yürütme makamlarının, kuruluşların, işletmelerin, bankaların ve Rusya Federasyonu topraklarında bulunan diğer kurumların kapalı sistemlerinin ve telekomünikasyon komplekslerinin geliştirilmesi, üretimi, sertifikasyon testleri, uygulanması, işletilmesi. departman bağlantıları ve devlet veya kanunla korunan başka bir sır oluşturan bilgilerin iletilmesine yönelik mülkler (bundan sonra kapalı sistemler ve telekomünikasyon kompleksleri olarak anılacaktır) oluşturur; devlet veya yasal olarak korunan diğer bir sırrı oluşturan bilgileri içermeyen bilgilerin iletişim kanalları aracılığıyla işlenmesi, saklanması ve iletilmesi sırasında işlenmesine yönelik şifreleme araçlarının, kapalı sistemlerin ve telekomünikasyon komplekslerinin sertifikasyon testlerinin uygulanması ve işletilmesi ve ayrıca Bu bilgilerin alan şifrelemesindeki hizmetler

Şifreleme araçları şunları içerir: bilgileri dönüştürmek için kriptografik algoritmalar uygulayan, şifreleme teknolojisi de dahil olmak üzere iletişim kanalları aracılığıyla bilgilerin işlenmesi, depolanması ve iletilmesi sırasında güvenliğinin sağlanmasını sağlayan donanım, yazılım ve donanım-yazılım araçları; bilgileri dönüştürmek için kriptografik algoritmalar uygulayan, işlenmesi ve depolanması sırasında bilgiye yetkisiz erişime karşı koruma sağlayan donanım, yazılım ve donanım-yazılım araçları; taklit koruması ve "dijital imza" araçları da dahil olmak üzere, yanlış bilgilerin uygulanmasına karşı bilgi, donanım, yazılım ve donanım-yazılım koruma araçlarını dönüştürmek için kriptografik algoritmaların uygulanması; anahtar bilgi taşıyıcısının türüne bakılmaksızın şifreleme araçlarına yönelik anahtar belgelerin üretimine yönelik donanım, donanım-yazılım ve yazılım.

Kapalı sistemler ve telekomünikasyon kompleksleri, şifreleme araçlarını, güvenli ekipmanı ve organizasyonel önlemleri kullanarak bilgilerin korunmasını sağlayan telekomünikasyon sistemlerini ve komplekslerini içerir.

Ayrıca, aşağıdaki faaliyet türleri de lisanslamaya tabidir: şifreleme araçlarının ve/veya dijital imza araçlarının yanı sıra plastik kredi kartları ve akıllı kartlar kullanılarak yapılan elektronik ödemeleri korumaya yönelik şifreleme araçlarının çalıştırılması; bilgi koruma (şifreleme) hizmetlerinin sağlanması; şifreleme araçlarının ve/veya dijital imza araçlarının kurulumu, kurulumu, ayarlanması, plastik kredi kartları ve akıllı kartlar kullanılarak yapılan elektronik ödemelerin korunmasına yönelik şifreleme araçları; şifreleme araçlarının ve/veya dijital imza araçlarının, plastik kredi kartları ve akıllı kartlar kullanılarak yapılan elektronik ödemeleri korumaya yönelik şifreleme araçlarının geliştirilmesi

CIPF sertifikasyonu prosedürü, Rusya Devlet Standardının Şifreleme Bilgilerini Koruma Araçları ROSS.R11.0001.030001 Sertifikasyon Sistemi tarafından oluşturulmuştur.

Kriptografik dönüşüm algoritmalarının standardizasyonu, CIPF geliştiricileri tarafından kanıtlanmış kriptografik olarak güçlü dönüşümlerin kullanılması, çeşitli CIPF'lerin ortak çalışma olasılığının yanı sıra test etme yeteneğinin sağlanması amacıyla, kriptografik prosedürlerin unsurlarının standartları şeklinde kapsamlı araştırma ve yayın içerir. ve CIPF uygulamasının standartta belirtilen algoritmaya uygunluğunu doğrulayın. Rusya'da aşağıdaki standartlar benimsenmiştir: kriptografik dönüşüm algoritması 28147-89, karma, ekleme ve dijital imza doğrulama algoritmaları R34.10.94 ve R34.11.94. Yabancı standartlar arasında DES, RC2, RC4 şifreleme algoritmaları, MD2, MD4 ve MD5 karma algoritmaları ve DSS ve RSA dijital imzalarının eklenmesi ve doğrulanması için kullanılan algoritmalar yaygın olarak bilinmekte ve kullanılmaktadır.

Yasal çerçeve bilgi Güvenliği

Bilgi sistemleri (IS) için bir bilgi güvenliği sisteminin tasarlanması ve değerlendirilmesine yönelik temel kavramlar, gereksinimler, yöntemler ve araçlar aşağıdaki temel belgelerde yansıtılmaktadır:

Ulusal Bilgisayar Güvenliği Merkezi'nin "Turuncu Kitabı"

"Avrupa ülkelerinin uyumlaştırılmış kriterleri (ITSEC)";

Rusya Federasyonu Başkanı'na bağlı Devlet Komisyonu'nun yasadışı faaliyetlerine karşı koruma kavramı.

Bilgi güvenliği konsepti

Geliştirilmekte olan sistemin güvenlik kavramı, "bir kuruluşun bilgiyi nasıl işlediğini, koruduğunu ve dağıttığını belirleyen bir dizi yasa, kural ve davranış normudur. Özellikle kurallar, kullanıcının hangi durumlarda belirli güvenlik önlemleriyle çalışma hakkına sahip olduğunu belirler." veri kümeleri.Sistem ne kadar güvenilir olursa, o kadar katı ve güvenlik konsepti de o kadar çeşitli olmalıdır.Formüle edilen konsepte bağlı olarak, sistemin güvenliğini sağlayan belirli mekanizmaları seçebilirsiniz.Güvenlik konsepti, korumanın aktif bir bileşenidir, Olası tehditlerin analizi ve karşı önlemlerin seçimi de dahil."

Turuncu Kitap'a göre geliştirilmekte olan sistemin güvenlik konsepti aşağıdaki unsurları içermelidir:

Rastgele erişim kontrolü;

Emniyet yeniden kullanma nesneler;

Güvenlik etiketleri;

Zorunlu erişim kontrolü.

Listelenen öğelerin içeriğini ele alalım.

Rastgele erişim kontrolü, öznenin veya öznenin ait olduğu grubun kimliğini dikkate alarak nesnelere erişimi kısıtlama yöntemidir. Kontrolün keyfiliği, bir kişinin (genellikle bir nesnenin sahibi) kendi takdirine bağlı olarak diğer öznelere nesneye erişim haklarını verebilmesi veya onlardan alabilmesidir.

Rastgele erişim kontrolünün temel avantajı esnekliktir, ana dezavantajları ise kontrolün dağılması ve merkezi kontrolün karmaşıklığının yanı sıra, gizli bilgileri halka açık dosyalara kopyalamanıza izin veren erişim haklarının verilerden yalıtılmasıdır.

Nesnelerin yeniden kullanım güvenliği, hassas bilgilerin çöpten kazara veya kasıtlı olarak alınmasına karşı koruma sağlayan, uygulamadaki erişim kontrollerine önemli bir katkıdır. RAM alanları (özellikle ekran görüntüleri içeren arabellekler, şifresi çözülmüş parolalar vb.), disk blokları ve genel olarak manyetik ortamlar için yeniden kullanım güvenliği garanti edilmelidir.

Güvenlik etiketleri, erişim kontrolünü uygulamak için konular ve nesnelerle ilişkilendirilir. Nesnenin etiketi onun güvenilirliğini, nesnenin etiketi ise içerdiği bilginin gizlilik derecesini açıklar. Orange Book'a göre güvenlik etiketleri iki bölümden oluşur: güvenlik düzeyi ve kategori listesi. Etiketlerde asıl ele alınması gereken konu bütünlüklerinin sağlanmasıdır. İlk olarak, etiketlenmemiş konular veya nesneler olmamalıdır, aksi takdirde etiketli güvenlikte kolayca istismar edilebilecek delikler olacaktır. İkinci olarak, verilerle yapılan herhangi bir işlem sırasında etiketlerin doğru kalması gerekir. Güvenlik etiketlerinin bütünlüğünü sağlamanın bir yolu, cihazları çok seviyeli ve tek seviyeli cihazlara ayırmaktır. Çok seviyeli cihazlar, farklı gizlilik seviyelerindeki bilgileri (daha kesin olarak belirli bir seviye aralığında) depolayabilir. Tek seviyeli bir cihaz, izin verilen aralığın tek bir seviyeden oluştuğu çok seviyeli bir cihazın dejenere bir durumu olarak düşünülebilir. Cihazın seviyesini bilen sistem, cihaza belirli bir etiketle bilgi yazılmasına izin verilip verilmediğine karar verebilir.

Zorunlu erişim kontrolü, öznenin ve nesnenin güvenlik etiketlerinin eşleştirilmesine dayanır. Bu erişim kontrolü yöntemine zorla denir, çünkü konuların iradesine bağlı değildir (hatta sistem yöneticileri). Zorunlu erişim denetiminin birçok çeşidi mevcuttur işletim sistemleri ve artan güvenlik önlemleriyle karakterize edilen DBMS.

Dinleyin... ortak faydamız için postanenize gelen ve giden her mektubun çıktısını alıp biraz okuyabilir misiniz: bir çeşit rapor mu yoksa sadece yazışma mı içeriyor... .

N.V. Gogol “Genel Müfettiş”

İdeal olarak, gizli bir mektubu yalnızca iki kişi okuyabilmelidir: gönderen ve gönderildiği kişi.Bu kadar basit görünen bir şeyin formülasyonu, kriptografik koruma sistemlerinin başlangıç ​​noktasıydı. Matematiğin gelişimi bu tür sistemlerin geliştirilmesine ivme kazandırdı.

Zaten 17. ve 18. yüzyıllarda Rusya'daki şifreler oldukça karmaşıktı ve kırılmaya karşı dayanıklıydı. Birçok Rus matematikçi, şifreleme sistemleri oluşturmaya veya geliştirmeye çalıştı ve aynı zamanda diğer sistemlerin şifrelerinin anahtarlarını bulmaya çalıştı. Şu anda, Lexicon Verba, Secret Net, DALLAS LOCK, Secret Disk, Accord ürün ailesi vb. Gibi birkaç Rus şifreleme sistemi not edilebilir. koruma kompleksleri, yetenekleri, güçlü ve zayıf yönleri hakkında bilgi edinin. Bu makalenin bir kripto koruma sistemi seçimi yapmanıza yardımcı olacağını umuyoruz.

giriiş

bundan endişeleniyor musun önemli bilgi bilgisayarınız yanlış ellere geçebilir mi? Bu bilgiler rakipler, düzenleyici otoriteler ve sadece kötü niyetli kişiler tarafından kullanılabilir. Açıkçası, bu tür eylemler size ciddi zararlar verebilir. Ne yapalım? Bilgilerinizi yabancılardan korumak için veri şifreleme programlarından birini yüklemeniz gerekir. İncelememiz masaüstü sistemler için şifreleme sistemlerinin analizine ayrılmıştır. Rusya'da yabancı şifreleme sistemlerinin kullanımının bir takım nedenlerden dolayı ciddi şekilde sınırlı olduğu, dolayısıyla devlet kurumlarının ve büyük yerli şirketlerin Rus gelişmelerini kullanmak zorunda kaldığı unutulmamalıdır. Ancak bireyler kadar orta ve küçük şirketler de bazen yabancı sistemleri tercih ediyor.

Deneyimsiz olanlar için bilgiyi şifrelemek biraz kara büyü gibi görünebilir. Aslında, içeriklerini dışarıdan gizlemek için mesajları şifrelemek karmaşık bir matematik problemidir. Ek olarak, şifrenin, anahtar olmadan, ancak bir anahtarla hızlı ve kolay bir şekilde açılması neredeyse imkansız olacak şekilde seçilmesi gerekir. Birçok şirket ve kuruluş, şifreleme programlarını yüklerken en iyi seçimi yapmanın çok zor olduğunu düşünüyor. Kesinlikle güvenli bilgisayarların ve kesinlikle güvenilir şifreleme sistemlerinin olmaması, meseleyi daha da karmaşık hale getiriyor. Ancak şifrelenmiş bilgileri açığa çıkarmaya yönelik neredeyse tüm girişimleri engellemenin hala yeterli yolu var.

Şifreleme programlarının içinde neler var?

Şifreleme programları şifreleme algoritmasında birbirinden farklılık gösterir. Dosyayı şifreledikten sonra diskete yazabilir ve gönderebilirsiniz. e-posta veya yerel ağınızdaki bir sunucuya yerleştirin. Şifrelemenizin alıcısının, dosyanın içeriğini okuyabilmesi için aynı şifreleme programına sahip olması gerekir.

Aynı anda birden fazla kullanıcıya şifrelenmiş bir mesaj göndermek istiyorsanız, her alıcıya ait bilgileriniz, kendi anahtarı kullanılarak veya tüm kullanıcılar için (mesajın yazarı dahil) paylaşılan bir anahtar kullanılarak şifrelenebilir.

Kriptografik güvenlik sistemi, bilgilerinizi anlamsız, sözde rastgele bir karakter dizisine dönüştürmek için gizli bir kod kullanır. İyi bir şifreleme algoritmasıyla, bilgi olmadan bir mesajın şifresini çözmek neredeyse imkansızdır. gizli kod, şifreleme için kullanılır. Bu tür algoritmalara simetrik anahtar algoritmaları denir çünkü bilgiyi şifrelemek ve şifresini çözmek için aynı anahtar kullanılır.

Verilerinizi korumak için şifreleme programı şifrenizi kullanarak gizli bir anahtar oluşturur. Kimsenin tahmin edemeyeceği uzun bir şifre belirlemeniz yeterli. Ancak, dosyayı başka birinin okuyabilmesini istiyorsanız, bu kişiye gizli anahtarı (veya oluşturulduğu şifreyi) söylemeniz gerekir. Basit bir şifreleme algoritmasının bile verilerinizi koruyacağından emin olabilirsiniz. düzenli kullanıcıörneğin bir iş arkadaşımdan. Ancak profesyonellerin, gizli kodu bilmeden bir mesajın şifresini çözmenin çeşitli yolları vardır.

Özel bilgi olmadan şifreleme algoritmanızın ne kadar güvenilir olduğunu bağımsız olarak kontrol edemezsiniz. Ancak profesyonellerin görüşlerine güvenebilirsiniz. Triple DES (Veri Şifreleme Standardı) gibi bazı şifreleme algoritmaları uzun yıllardır test edilmektedir. Test sonuçlarına göre bu algoritma kendini kanıtlamış durumda ve kriptograflar buna güvenilebileceğine inanıyor. Yeni algoritmaların çoğu da dikkatle inceleniyor ve sonuçlar özel literatürde yayınlanıyor.

Programın algoritması profesyoneller tarafından açıkça incelenip tartışılmamışsa, sertifikaları ve diğer resmi belgeleri yoksa, bu onun güvenilirliğinden şüphe etmek ve böyle bir programı kullanmayı reddetmek için bir nedendir.

Bir diğer şifreleme sistemi türü ise açık anahtar sistemleridir. Böyle bir sistemin çalışması için, alıcıya gizli anahtarı (veya oluşturulduğu esasa göre şifreyi) sağlamaya gerek yoktur. Bu şifreleme sistemleri her kullanıcı için iki dijital anahtar üretir: biri verileri şifrelemek için kullanılır, diğeri ise şifreyi çözmek için kullanılır. İlk anahtar (genel anahtar olarak adlandırılır) yayınlanabilir, ancak ikinci anahtar gizli tutulabilir. Bundan sonra, herkes genel anahtarı kullanarak bilgiyi şifreleyebilir ve yalnızca ilgili gizli anahtara sahip olanlar şifreyi çözebilir.

Bazı şifreleme programları başka bir önemli güvenlik özelliği içerir: dijital imza. Dijital imza, dosyanın imzalandıktan sonra değiştirilmediğini onaylar ve alıcıya dosyayı kimin imzaladığı hakkında bilgi verir. Dijital imza oluşturma algoritması, karma toplamı veya mesaj özeti adı verilen bir sağlama toplamının hesaplanmasına dayanır. Kullanılan algoritmalar, karma toplamları eşleşen iki farklı dosyayı bulmanın imkansız olmasını sağlar.

Alıcı dijital olarak imzalanmış bir dosya aldığında, şifreleme programı bu dosyanın karma değerini yeniden hesaplar. Alıcı daha sonra dijital imzayı yeniden oluşturmak için gönderen tarafından yayınlanan genel anahtarı kullanır. Sonuç, dosya için hesaplanan değerle eşleşiyorsa, alıcı, mesaj metninin değiştirilmediğinden (eğer değiştirilmiş olsaydı, karma farklı olurdu) ve imzanın, gönderenin özel anahtarına erişimi olan birine ait olduğundan emin olabilir. .

Önemli veya gizli bilgilerin korunması yalnızca iyi programşifreleme. Bilgi güvenliğini sağlamak için bir takım önlemler almanız gerekir. Şifreniz zayıfsa (uzmanlar sekiz veya daha fazla karakter kullanmanızı önerir) veya hassas bilgilerin şifrelenmemiş bir kopyası bilgisayarınızda saklanıyorsa, en iyi şifreleme sistemi bile güçsüz kalacaktır.

Sistem "Lexicon-Verba"

Lexikon-Verba sistemi, hem kurumsal ağ içinde hem de farklı kuruluşlar arasında güvenli elektronik belge akışını organize etmenin bir yoludur. Lexikon-Verba, şifreleme sisteminin iki modifikasyonunu kullanır: Verba-W sistemi devlet kurumlarına yöneliktir (gizli bilgilerin, özellikle suntaların korunması; imza anahtarları geneldir, şifreleme anahtarları özeldir), Verba-OW sistemi ticari amaçlıdır kuruluşlar (ticari sırların korunması; imza ve şifreleme anahtarları kamuya açıktır).

Oldukça az sayıda küresel şifreleme standardı var, ancak bunların yalnızca küçük bir kısmının Federal Hükümet İletişim ve Bilgi Ajansı'ndan (FAGSI) sertifikaları var, bu da Rusya'da sertifikasız çözümlerin kullanılmasını imkansız hale getiriyor. Verba-W sistemi, SF/114-0176 numaralı FAPSI sertifikasına sahiptir. Sistem "Verba-OW" - FAPSI sertifikası No. SF/114-0174.

Lexikon-Verba, GOST 28147-89 “Bilgi işleme sistemleri” gerekliliklerine uygun olarak şifreleme ve elektronik dijital imza sağlar. Şifreleme koruması" ve GOST R34.10-94 " Bilgi Teknolojisi. Kriptografik bilgi koruması. Asimetrik bir şifreleme algoritmasına dayalı bir elektronik dijital imzanın geliştirilmesi ve doğrulanması için prosedürler."

Program, Rusya Federasyonu Başkanı'na bağlı Devlet Teknik Komisyonu tarafından onaylanmıştır. Temmuz ayında Rusya Savunma Bakanlığı'ndan sertifika alması bekleniyor.

Sistemin kriptografik koruması genel anahtar şifreleme tekniğine dayanmaktadır. Kullanıcıyı tanımlayan her anahtar iki bölümden oluşur: genel anahtar ve özel anahtar. Genel anahtar serbestçe dağıtılabilir ve belirli bir kullanıcının bilgilerini şifrelemek için kullanılır. Bir belgenin şifresini çözmek için, onu şifreleyen kullanıcının ortak anahtarınıza sahip olması ve belgeyi şifrelerken belgeye erişiminiz olduğunu belirtmesi gerekir.

Bir belgenin şifresini çözmek için özel anahtarı kullanmanız gerekir. Özel anahtar iki parçadan oluşur; bunlardan biri akıllı kartta veya dokunmatik bellekte, diğeri ise bilgisayarınızın sabit diskinde saklanır. Böylece ne akıllı kartın kaybı ne de Yetkisiz Erişim bilgisayara, her biri ayrı ayrı belgelerin şifresini çözme yeteneği vermez.

Kullanıcının genel ve özel anahtarlarına ilişkin tüm bilgileri içeren başlangıç ​​anahtar seti, özel donanımlı güvenli bir iş istasyonunda oluşturulur. Anahtar bilgileri içeren disket yalnızca kullanıcının iş istasyonunun hazırlanması aşamasında kullanılır.

Lexikon-Verba sistemi, güvenli belge akışını düzenlemek için iki ana sistem içerisinde kullanılabilir:

• bağımsız bir çözüm olarak Kuruluşunuzun yerel ağı varsa, sistem tüm bilgisayarlara değil, yalnızca gizli belgelerle çalışmayı gerektiren bilgisayarlara kurulabilir. Bu, kurumsal ağ içerisinde gizli bilgilerin alışverişi için bir alt ağın ortaya çıktığı anlamına gelir. Aynı zamanda sistemin kapalı kısmındaki katılımcılar diğer çalışanlarla açık belge alışverişinde bulunabilmekte;
• Nasıl bileşen belge akışı. "Lexikon-Verba" var standart arayüzler belgelerin açılması, kaydedilmesi, kapatılması ve gönderilmesi işlemlerinin gerçekleştirilmesi için harici fonksiyonların bağlanması, bu sistemin hem mevcut hem de yeni geliştirilen belge akış sistemlerine entegrasyonunu kolaylaştırmaktadır.

Lexicon-Verba sisteminin özelliklerinin, onu yalnızca harici sızmalara karşı bilgi koruması sağlamanın bir yolu değil, aynı zamanda dahili kurumsal gizliliği ve erişimi paylaşmanın da bir aracı haline getirdiğine dikkat edilmelidir.

Bilgi güvenliği kontrolünün düzeyini artırmaya yönelik önemli ek kaynaklardan biri, herhangi bir belge için bir "olay günlüğü" tutabilme yeteneğidir. Belge geçmişini kaydetme işlevi yalnızca sistem kurulumu sırasında etkinleştirilebilir veya devre dışı bırakılabilir; Etkinleştirildiğinde bu günlük, kullanıcının istekleri ne olursa olsun tutulacaktır.

Sistemin temel avantajı ve ayırt edici özelliği, geleneksel özellikleri korurken bilgi güvenliği işlevlerinin basit ve sezgisel olarak uygulanmasıdır. kelime işlemcileri kullanıcının çalışma ortamı.

Kriptografi ünitesi, şifrelemenin yanı sıra belgelerin elektronik dijital imzalarının (EDS) kurulumu ve kaldırılmasını da gerçekleştirir.

Bloğun yardımcı işlevleri arasında gizli bir anahtarın yüklenmesi, genel anahtarların dışa ve içe aktarılması, sistem abone anahtarlarının bir dizininin kurulması ve bakımı yer alır.

Böylece belgeye erişimi olan her kişi yalnızca kendi imzasını atabilir, daha önce imzalamış olanlardan herhangi birini kaldırabilir.

Bu, belge onaylandıktan sonra farklı aşamalarda düzeltmelere tabi tutulabileceği, ancak bundan sonra belgenin yeniden onaylanmasının gerektiği ofis işleri için kabul edilen prosedürü yansıtır.

Lexikon-Verba dışında bir araçla belgede değişiklik yapmaya çalıştığınızda dijital imza zarar görüyor ve bunun sonucunda “İmza Durumu” alanında “Hasarlı” mesajı çıkıyor.

Ofis

Sistem kullanıcı sayısı arttıkça her bir ortak anahtarın her bilgisayara girilmesi zorlaşır. Bu nedenle ofisin çalışmalarını organize etmek için genel anahtarlar dizininin merkezi yönetimi düzenlenir. Bu şu şekilde yapılır:

1) “Lexicon-Verba” yöneticinin bilgisayarına yerel modda kurulur. Bu, yöneticinin ofiste kullanılan her anahtarı eklediği bir ortak anahtar dizini oluşturur;

2) diğer tüm bilgisayarlarda sistem ağ modunda kurulur. Bu modda, yöneticinin bilgisayarında bulunan genel anahtarların dizini kullanılır;

3) herkes Yeni kullanıcı Yönetici tarafından dizine eklenen , dizine bağlı tüm kullanıcılar tarafından "görünür" hale gelir. Bu andan itibaren şifreli belgeleri kendisine aktarabilirler.

Dizinin yönetimi merkezi hale gelir, ancak bu, sistemin güvenlik düzeyini etkilemez, çünkü genel anahtarlara erişim sağlamak, kullanıcılara bir tür "tanıtım" niteliğindedir, ancak herhangi bir belgeye erişim sağlamaz. Bir kullanıcının bir belgenin şifresini çözebilmesi için, genel anahtarının yalnızca dizinde olması değil, aynı zamanda belgeye erişiminin açıkça belirtilmesi de gerekir.