Архитектура GPRS

Если не вдаваться в глубокие технические подробности, то технология работы GPRS выглядит так, как показано на рис.1. Архитектура GPRS расширяет стандартные компоненты GSM новыми или обновленными элементами. В целом, таких элементов всего 4, из которых только 2 не были известны в технологии GSM.

Мобильная станция

MS (mobile station) - это мобильная станция, в качестве которой может выступать переносной или карманный компьютер, мобильный телефон или иное устройство, поддерживающее технологию GPRS. Функционально данный элемент состоит из 2-х компонентов, которые могут быть выполнены как в виде единого устройства (например, мобильный телефон Sony Ericsson T68i), так и в виде самостоятельных устройств:

терминальное оборудование (terminal equipment, TE), например, переносной компьютер; мобильный терминал (mobile terminal, MT), например, модем.

В зависимости от типа оборудования и возможностей сети данная станция может работать в одном из 3-х режимов работы:

Класс A - позволяет мобильной станции в одно и то же время передавать как данные, так и голос, т.е. одновременно работать в GSM- и GPRS-сетях. Класс B - позволяет мобильной станции передавать и данные и голос, но в разные моменты времени, т.е. не одновременно. Класс C - позволяет мобильной станции работать только в режиме GPRS.

При подключении к сети GPRS, мобильная станция (а точнее элемент TE) получает IP-адрес, который не меняется до момента отключения мобильного терминала (MT); больше того, мобильная станция может даже и не "подозревать" о том, что она является мобильной. Мобильная станция устанавливает соединение с узлом обслуживания абонентов GPRS, описываемым далее.

Базовая станция

BSS (base station system) - это базовая станция, которая принимает радиосигнал от мобильной станции и, в зависимости от того, что передается (голос или данные), транслирует трафик:

на центр коммутации (mobile switching center, MSC), являющийся стандартным элементом сети GSM, или на узел SGSN, отвечающий за обработку входящих/исходящих данных GPRS.

Узел обслуживания абонентов GPRS

Обслуживающий узел ( serving GPRS support node, SGSN) является основным компонентом GPRS-сети. Он транслирует IP-пакеты, посылаемые/получаемые мобильной станцией. По своей сути, это такой же центр коммутации, как и MSC в GSM, но в отличие от последнего, он коммутирует пакеты, а не каналы. Как правило, такой узел построен на базе ОС Unix и имеет свой IP-адрес. С точки зрения безопасности, на SGSN возложены функции:

Проверки разрешений абонентов на пользование запрашиваемых услуг (аутентификация). Механизм аутентификации GPRS совпадает с аналогичным механизмом в GSM. Мониторинг активных абонентов. Регистрация новых абонентов. Шифрование данных. Алгоритм шифрования в технологии GPRS (GEA1, GEA2, GEA3) отличаются от алгоритмов шифрования в GSM (A5/1, A5/2, A5/3), но разработаны на их основе.

Узел маршрутизации GPRS

Узел маршрутизации (gateway GPRS support node, GGSN), также является важнейшим элементом технологии GPRS и отвечает за прием/передачу данных из внешних сетей, например, Internet или GPRS-сети другого оператора связи. С точки зрения внешней сети GGSN - это обычный маршрутизатор (как и SGSN, построенный на базе Unix), который принимает данные для всех подписчиков услуг GPRS. Помимо маршрутизации, GGSN отвечает за выдачу IP-адресов и тарификацию услуг.

Другие элементы GPRS-сети

Home Location Register (HLR) - это реестр собственных абонентов сети, которая хранит информацию о каждом человеке, оплатившем услуги оператора GPRS именно данной сети. В частности, HLR хранит информацию о дополнительных услугах, параметрах аутентификации, IP-адресе и т.д. Обмен данной информацией происходит между HLR и SGSN.

Visitor Location Register (VLR) - это реестр перемещений, которая хранит информацию о каждой мобильной станции, находящейся в данный момент в зоне действия SGSN. В VLR хранится та же информация об абоненте, что и в HLR, но только до тех пор, пока абонент не покинет географическую зону, обслуживаемую этим реестром перемещений.

Equipment Identity Register (EIR) - это реестр идентификационных данных оборудования, который содержит информацию, позволяющую блокировать вызовы от украденных, мошеннических или иных неавторизованных устройств.

Безопасность технологии GPRS

Алексей Лукацкий, Научно-инженерное предприятие "Информзащита"

Опубликовано в журнале "Мобильные системы", №2, 2003

Что такое GPRS?

GPRS (General Packet Radio Service) - это новая перспективная технология, стандартизация которой началась в 1993 году в European Telecommunication Standards Institute (http://www.etsi.org/), позволяющая работать в сети Internet, используя обычный мобильный телефон. С помощью GPRS, пользователи могут работать со своей электронной почтой, с обычными Web-серверами (а не со специальными WAP-версиями) и т.д. Основное достоинство GPRS-сетей состоит в том, что пользователь оплачивает только объем передаваемой/получаемой информации, а не время нахождения в сети. До разработки технологии GPRS (http://www.gsmworld.com/technology/gprs/index.shtml), абонент оплачивал все время соединения независимо от того, использовал он установленный канал передачи данных. Иными словами, ресурсы сети задействованы только во время непосредственной передачи данных от телефона. Во время пауз (например, просмотр полученной электронной почты) ресурсы сети предоставляются в распоряжение других абонентов. Кроме того, технология GPRS является промежуточным этапом при переходе от сетей 2 поколения (GSM) к 3-му (UMTS). В GPRS максимально возможная скорость передачи данных составляет 171,2 Кбит/с - это почти в 12 раз быстрее работы передачи данных в обычных сетях GSM (9,6 Кбит/с). Однако на данный момент скорости не так высоки - обычно 30-40 Кбит/с. В настоящее время три крупнейших сотовых сети России (МТС, БиЛайн, Мегафон) предлагают своим абонентам услуги GPRS. Потенциальное число абонентов технологии GPRS в России - 17,8 миллионов человек, именно такое количество абонентов сотовой связи насчитывалось в России к концу 2002 года. Реальное же число желающих воспользоваться преимуществами этой технологии пока не так велико. В частности, к началу декабря 2002 года в БиЛайне, пионере GPRS в России, насчитывалось всего 25000 абонентов.

Механизмы безопасности GPRS

Если посмотреть внимание на рис.1, то можно выделить следующие фрагменты GPRS-сети, на безопасность которых необходимо обратить соответствующее внимание:

безопасность мобильной станции безопасность соединения между мобильной станцией и узлом обслуживания SGSN

безопасность данных в процессе их передачи по сети GPRS безопасность данных в процессе их передачи между различными операторами GPRS-услуг безопасность данных в процессе их передачи в сети открытого доступа, например, Internet.

Безопасность мобильной станции

Наибольший интерес вызывает безопасность мобильного телефона, который в терминах GPRS является мобильной станцией. Его безопасность складывается из двух составляющих:

SIM-карта сам телефон

SIM-карта (Subscriber Identity Module) - это модуль идентификации абонента. В SIM-карте содержится информация о сервисах, предоставляемых абоненту, независимая от типа используемого мобильного оборудования. Эта карта может вставляться в любой другой GSM терминал, при этом абонент получает возможность использовать этот терминал для получения всех сервисов системы, на которые он подписан. С точки зрения безопасности SIM-карта отвечает за идентификацию абонента и аутентификацию мобильного телефона в GPRS-сети. Она содержит идентификатор IMSI, индивидуальный ключ аутентификации абонента длиной 128 бит Ki, алгоритм генерации ключей шифрования A8 и алгоритм аутентификации A3 и разумеется PIN-код для доступа к функциям карты. Алгоритм A5 наряду с IMEI включен в состав программного обеспечения телефона и обеспечивает его защиту.

Каждый абонент в GPRS-сети имеет уникальный международный идентификатор мобильного абонента (IMSI, International Mobile Subscriber Identity), хранимый в SIM-карте. IMSI состоит из 3 элементов:

трехразрядный код страны (для России - 250) двухразрядный код сети (для МТС - 01, для Билайн - 99, для СМАРТС - 07 и т.д.) десятиразрядный код абонента (Mobile Subscriber Identity Number, MSIN).

Алгоритм A8 отвечает за генерацию ключей шифрования, который, используя случайное число, передаваемое на мобильный терминал в момент соединения с сетью, и ключ Ki генерит 64-битный ключ шифрования трафика.
Так как индивидуальный ключ Ki имеется не только у абонента, но и хранится в реестрах HLR и VLR, то и абонент и оборудование сети создают одинаковый ключ шифрования, который и используется для защиты передаваемых данных.

Алгоритм A3, отвечающий за аутентификацию абонента, похож на алгоритм A8 и также использует случайное число, получаемое в момент подключения к сети и индивидуальный ключ абонента.

Для доступа к функциям SIM-карты необходимо использовать специальный персональный код (другими словами, пароль) PIN (Personal Identification Number), после 3-х неправильных попыток ввода которого, SIM-карта блокируется.

Безопасность самого телефона, как уже было сказано выше, обеспечивается двумя механизмами:

алгоритмом шифрования A5, который обеспечивает защиту данных, циркулируемых между мобильной станцией и узлом SGSN. Уникальным 14-тиразрядным международным идентификатором аппаратуры мобильной связи (International Mobile Equipment Identity, IMEI), который однозначно идентифицирует телефон. Узнать этот номер очень просто - достаточно набрать на телефоне комбинацию *#06#. Если высвеченное число не совпадает с тем, что указано на задней крышке телефона, то вероятнее всего вы пользуетесь взломанным аппаратом. Именно эти номера хранятся в реестре EIR. Данный реестр ведет три типа списков IMEI:

"белый" список, содержащий идентификаторы всех разрешенных аппаратов. "серый" список, содержащий идентификаторы всех незапрещенных аппаратов, но используемых для различных целей, например, тестирования и т.п. "черный" список, содержащий идентификаторы всех запрещенных аппаратов. Как заявил в одном из интервью вице-президент МТС (http://www.mts.ru/press/speech9.html) Михаил Сусов "Сейчас между операторами (в России - А.Л.) проводятся переговоры о создании единого "черного списка" краденых телефонов".

Надо понимать, что идентификаторы IMEI и IMSI - независимы между собой. Более того - они решают различные задачи: IMEI идентифицирует мобильный терминал, а IMSI - абонента.



Безопасность соединения мобильной станции с узлом SGSN

В процессе подключения мобильной станции, описываемом далее, между ней и узлом SGSN происходит выбор версии используемого в дальнейшем алгоритма шифрования GPRS-A5. В 3-м квартале 2002 года началось внедрение третьей версии этого алгоритма (A5/3), которая может использоваться не только в GSM-, но и в GPRS-, HSCSD- и EDGE-сетях. Данный алгоритм разработан на базе алгоритма "Казуми" (Kasumi), в свою очередь разработанного на базе алгоритма MISTY компании Мицубиси. Как утверждается в пресс-релизе Ассоциации GSM (http://www.gsmworld.com/news/press_2002/press_15.shtml), A5/3 обеспечивает на сегодняшний день практически 100-процентную защиту передаваемых данных. Однако не стоить безоглядно верить этому утверждению. Аналогичные заявления делались и для предыдущих версий алгоритма A5, история которого начинается с 1987 года, однако они были успешно взломаны.

В сетях GPRS используются алгоритмы семейства A5 - GEA1 и GEA2, а после разработки A5/3 - начинается внедрение созданного на его базе алгоритма GEA3.

Безопасность данных в процессе их передачи по сети GPRS

Все данные между узлами поддержки (SGSN и GGSN) передаются с помощью специального протокола GTP (GPRS Tunneling Protocol), который инкапсулирует в себя любые пользовательские протоколы, например, HTTP, Telnet, FTP и т.д. По умолчанию GTP-трафик не шифруется. Кроме того, опорная сеть строится на базе частных IP-адресов, описанных в RFC 1918 (http://www.ietf.org/rfc/rfc1918.txt), что обеспечивает невозможность прямого доступа к сетевому оборудованию из внешних сетей.

Безопасность в процессе взаимодействия с различными операторами GPRS-услуг

Безопасность возлагается на устройства, называемые пограничными шлюзами (border gateway, BG), которые очень похожи на обычные межсетевые экраны, защищающие корпоративные сети от посягательств злоумышленников. В частности, этот шлюз защищает оператора от атак, связанных с подменой адреса (IP Spoofing).

Настройка такого шлюза включает в себя создание правил, разрешающих входящий/исходящий пользовательский трафик, данные биллинговой системы, аутентификацию роуминговых абонентов и т.п.


Дополнительно на пограничный шлюз может быть установлено программное обеспечение, организующее VPN между различными GPRS-операторами.

Помимо встроенных в пограничный шлюз защитных механизмов, существует возможность использования продуктов третьих фирм. Первым таким решением стал межсетевой экран Firewall-1 GX компании CheckPoint Software (http://www.checkpoint.com/products/solutions/firewall-1gx.html), который, будучи установлен на пограничном шлюзе или узле GGSN повышает защищенность сети GPRS-оператора от возможных несанкционированных действий.

Безопасность в процессе взаимодействия с Internet

Основные механизмы безопасности реализованы на узле GGSN, в состав которого входит межсетевой экран, который определяет тип входящего и исходящего GPRS-трафика. Задача межсетевого экрана, входящего в состав GGSN, защитить мобильную станцию от атак внешних (из Internet) хакеров. Защита от атак с других мобильных станций возлагается на узел SGSN. Для предотвращения доступа к сетевому оборудованию опорной сети от внешних злоумышленников используется трансляция адресов (network address translation). Все остальные механизмы защиты могут быть взяты из классической практики обеспечения информационной безопасности Internet-сетей и устройств, например, аутентификация при помощи серверов RADIUS или защита трафика с помощью IPSec.

Процедура подключения мобильной станции

Упрощенно процесс подключения абонента, желающего воспользоваться услугами GPRS, выглядит следующим образом:

Мобильная станция посылает запрос (Attach Request) на получение доступа к сети, который содержит ряд параметров, в т.ч. и IMSI. Узел SGSN, получив такой запрос, проверяет наличие аутентифицирующей данного абонента информации в своей базе. Если такая информация отсутствует, то SGSN посылает запрос в реестр HLR, который возвращает т.н. аутентификационный триплет, содержащий:

Случайное число, используемое в алгоритмах A3 и A8 для выработки ключа шифрования и аутентификации абонента. 32-хразрядный ключ аутентификации абонента, который вырабатывается на основе индивидуального ключа, хранящегося как на мобильной станции, так и в реестре HLR. Ключ шифрования данных, получаемый также на базе индивидуального ключа абонента.

Полученное случайное число передается на мобильную станцию, которая на его основе вырабатывает ключ шифрования и ключ аутентификации. Т.к. индивидуальные ключи, хранящиеся в реестре HLR и на мобильной станции совпадают, то и ключи шифрования и аутентификации также должны совпадать, что и является фактом правомочности запроса данным абонентом оплаченных GPRS-услуг. После идентификации абонента осуществляется идентификация оборудования, которое посылает на SGSN идентификатор IMEI. Узел SGSN в свою очередь проводит проверку данного оборудования по реестру EIR. После аутентификации абонента и оборудования происходит процедура определения местоположения абонента (с использованием реестров HLR и VLR), после чего происходит завершение процедуры подключения мобильной станции к сети GPRS. В том случае, если мобильная станция не смогла пройти аутентификацию, то SGSN посылает на нее сообщение Attach Reject.

В заключение хочу добавить, что,

В заключение хочу добавить, что, при создании технологии GPRS (как и при создании многих современных сетевых технологий) вопросам безопасности внимания уделялось недостаточно. Многие аспекты не описаны и отданы на откуп операторам, которые далеко не всегда уделяет безопасности первостепенное внимание, что приводит к печальным последствиям. Специалистами найдено уже немало недостатков технологии GPRS, но это уже тема другой статьи.

Что предпринимаем?

Существуют два пути решения указанных проблем: внедрение системы централизованного управления и внедрение системы учета настроек и изменений в настройках информационной системы.

Но универсальная консоль управления всеми приложениями не спасает, поскольку не дает ответ на вопрос - на каком основании, кто и как должен принимать решения о том, какие изменения нужны.

Для упорядочения деятельности по администрированию на предприятии рано или поздно вырабатываются регламенты и прочие документы, описывающие правила работы и взаимодействия всех субъектов информационной системы.

Но решить эту проблему только организационными методами не удается. Виной всему нехватка и недостаточная квалификация администраторов, перегруженность специалистов и, самое главное - отсутствие механизмов проверки фактического положения дел. Все это приводит к тому, что даже при наличии некоторой формальной системы управления контроль над информационной системой и вопросами безопасности данных в ней все равно теряется.

Кстати, порой простое увеличение штата IT-подразделения и подразделения информационной безопасности только усугубляют проблемы. В этих структурах, в свою очередь, появляются подразделения, специализирующиеся на отдельных подсистемах, взаимодействие структур нарушается еще больше.

Осознавая всю сложность решения задачи, а так же отсутствие инструментов, специалисты по информационной безопасности зачастую медлят с устранением проблемы.

Рецептура

По большому счету, для управления любой сложной системой необходимо создать жесткий, но простой регламент обслуживания системы и обеспечить контроль за тем, чтобы настройки системы изменялись в соответствии с этим регламентом.

Применительно к обеспечению безопасности информационной системы (ИС) это можно представить следующим образом.

Иметь в наличии документ, в котором должно быть четко описано, кто и на каком основании должен иметь доступ к ресурсам информационной системы. Иметь единую точку взаимодействия сотрудников организации с информационной системой, через которую они смогут формулировать свои пожелания на предоставление доступа к тем или иным ресурсам ИС. Иметь инструменты контроля правильности настроек ИС.

Разработками такого рода в последнее время занимается несколько крупных корпораций. Свои решения предлагают Oracle и IBM. Отрадно, что в ряду гигантов IT-индустрии есть и отечественный разработчик, компания "Информзащита", котороая имеет свою систему комплексного управления безопасностью (КУБ).

Особенность предлагаемых решений в том, что в них соединяются не работающие по отдельности технический и организационный подходы к управлению безопасностью.

При внедрении таких систем предполагается, что организация уже имеет сформулированную политику безопасности. Эта политика вместе с информацией об ИС служит в дальнейшем фундаментом системы управления.

Для описания информационной системы обычно необходимо знать следующее.

Перечень информационных ресурсов. Под ресурсом могут пониматься конкретные серверы и папки на них, эксплуатируемые приложения, оборудование и даже сегменты сети. Ответственный за безопасность этих ресурсов. Это могут быть владельцы ресурсов, главы подразделений, кураторы со стороны службы безопасности и другие. Ответственный за администрирование этих ресурсов. Как ресурсы информационной системы взаимосвязаны между собой. Порой для нормальной работы приложения необходим комплекс настроек - от настроек самого приложения до коммутационного оборудования.
Ведь даже если мы выполним все настройки, но забудем прописать разрешающее правило на внутреннем межсетевом экране, решение всей задачи будет сорвано. Штатная структура компании. Какой доступ и к каким ресурсам имеет сотрудник, занимающий на определенную должность.

На базе полученной информации система управления выстраивает идеальную модель ИС. Этот момент можно считать стартовым в работе системы управления безопасностью.

Отныне все общение по вопросам изменений настроек информационной системы начинает происходить через специализированную систему документооборота, входящую в состав системы управления безопасностью.

Кстати, от зарубежных аналогов отечественную систему КУБ отличает специальный транслятор, который позволяет преодолевать языковой барьер и предоставляет возможность каждому работать с понятными ему терминами: менеджменту компании - с терминами "сотрудник", "должность", IT-специалистам - с терминами типа "учетная запись", "права доступа" и т. п.

Заявка на изменение доступа, составленная в системе управления безопасностью, будет проверена на непротиворечивость требованиям политики безопасности, согласована с владельцами ресурсов и направлена на выполнение администраторам.

Выявлять несоответствие модели ИС и ее текущего состояния системе управления безопасностью позволяют агенты-сенсоры. Такие агенты регулярно следят за всеми связанными с безопасностью ИС настройками операционных систем, приложений, средств защиты, сетевого оборудования.

Под несоответствием системы управления безопасностью ИС предприятия следует понимать либо невыполненные администратором необходимых действий по администрированию информационной системы, либо действия, совершенные им в обход принятого и утвержденного в организации порядка. Например, предоставление лишних полномочий какому-либо пользователю или неправомерное ограничение пользователя в правах.

Информация о несоответствиях тут же поступает в службы безопасности и в службу IT. Ведь каждое из них связано с тем, что кто-то из сотрудников либо приобретает права на доступ к ресурсам ИС, либо теряет их.Это означает, что он может получить лишнюю информацию или лишиться доступа к необходимых ему сведений. А это, как уже отмечалось, равнозначно недопустимо, поскольку таит угрозу безопасности или же приводит к срыву выполнения бизнес-задач.

Наличие в системе документооборота механизма архивирования заявок на изменения доступа к информационной системе позволит в любой момент понять, кто имеет доступ к ресурсам информационной системы и кто запрашивал предоставление этого доступа.

Система управления безопасностью: простые рецепты

Михаил Савельев

, #07/2005

В последнее время все больше заметен перекос понятий в области защиты данных: говоря об информационной безопасности, многие в первую очередь имеют в виду защиту от вирусов и хакеров. Но если попросить специалистов по безопасности рассказать о том, что их волнует, выяснится, что наибольшую озабоченность вызывают действия "инсайдеров" (сотрудников компании) Это показали и ежегодный отчет ФБР Computer Crime and Security Survey, и Global Information Security Survey 2004 компании Ernst&Young, и исследования "Внутренние IT-угрозы в России 2004", проведенные компанией InfoWatch.

Так, по данным этих исследований, ущерб от неосторожных и неправомерных действий сотрудников в несколько раз превышает объем причиненного вреда от действий вирусов и хакерских атак. И это несмотря на то, что, согласно отчету Computer Crime and Security Survey, количество инцидентов по вине внешних и внутренних нарушителей спокойствия соизмеримо.

Этот результат вполне закономерен. Хотя внешних злоумышленников действительно значительно больше, но, во-первых, они меньше мотивированны. Отбросив малое число наемных профессионалов, мы получим огромную массу школьников и студентов, которые просто из любопытства пробуют скачанные утилиты, не преследуя каких-либо определенных целей и порой даже не зная, что делать с полученной информацией. Во-вторых, им противостоят мощные и зрелые технологии периметровой защиты, то есть внешнему злоумышленнику нужна большая квалификация, чтобы преодолеть все эти барьеры.

У внутреннего нарушителя, особенно если его действия сознательны, а не являются ошибкой, стимулов может быть больше: от банальной обиды до материальной выгоды в случае подкупа со стороны конкурентов. А возможностей - не в пример больше. Он уже является легальным пользователем сети, имеет доступ в том числе и к конфиденциальным ресурсам организации, может пользоваться корпоративными приложениями и обрабатываемыми в них данными на законных основаниях.

Но если это так, почему большие усилия тратятся именно на защиту от внешних угроз? Есть несколько причин.

Строить систему защиты от внешнего врага гораздо проще. Это хорошо известный и уже проторенный путь. Любой из нас готов начать перечислять необходимые средства защиты. Кроме того, занимаясь построением этого рубежа обороны, мы не влияем на работоспособность нашей информационной системы. Все бизнес-приложения работают нормально, цена ошибки администрирования - по большому счету, лишь кратковременное отсутствие доступа в Интернет.

Защита от внутреннего врага сложнее и требует больших усилий. Она складывается из обеспечения безопасности самих приложений и грамотного администрирования, которое прежде всего подразумевает под собой наличие четких привилегий сотрудников компании на доступ к ресурсам информационной системы (в сформулированном виде - это политика безопасности).

Данные привилегии должны быть достаточны для обеспечения нормальной работы и в то же время минимальны с точки зрения доступа и возможности манипулирования информацией.

И зачастую при появлении подобной задачи, проблем видится больше, чем решений.

Перечислять их можно долго, проблемы цепляются друг за друга. Например, незащищенность ряда приложений вынуждает нас использовать дополнительные средства защиты. Однако эти средства нужно не только приобрести и правильно внедрить, но и сопровождать. И если с процессом внедрения обычно проблем не возникает (справляются либо штатные специалисты, либо нанятые консалтинговые компании), трудности появляются потом, в процессе администрирования системы. Ведь управление средствами защиты осуществляется зачастую отдельно от уже используемых в компании, в том числе и штатных механизмов. А это означает, что рано или поздно (в зависимости от масштаба информационной системы) наступает момент, когда настройки системы защиты и настройки штатных механизмов начинают расходиться.

Расхождение происходит еще и потому, что отсутствуют процедуры, регламентирующие внесение изменений в информационную систему и в настройки механизмов безопасности.А внести изменения в реальные настройки системы гораздо проще и быстрее, чем оформить их. Да и набрать номер администратора или забежать к нему по пути проще, чем написать заявку. В результате - в заданный момент времени практически невозможно воссоздать реальную картину происходящего, невозможно ответить на вопрос: "Почему к определенному ресурсу имеют доступ эти пользователи и группы пользователей?". Теряется история всех производимых изменений, и уже нельзя определить - правильно или неправильно сконфигурированы, пусть даже самые совершенные, механизмы защиты.

Цена ошибки за неправильное администрирование измеряется либо предоставлением пользователю необоснованно больших компетенций (а равно - созданием огромной уязвимости в информационной системе), либо ограничением необходимого ему в какой то момент доступа (при этом, возможно, срывается выполнение задач организации).

Кстати, среди этих вариантов невозможно выбрать предпочтительный…

в привычном ритме работы информационной

Использование описанного подхода к управлению информационной безопасностью - это серьезные изменения в привычном ритме работы информационной системы.
Но затраченные усилия с лихвой окупятся. Выгоды от внедрения систем управления безопасностью очевидны. И прежде всего это повышение защищенности ИС, поскольку отныне все производимые изменения настроек будут контролироваться и производиться в точном соответствии с политикой информационной безопасности организации. Дополнительным бонусом будет сокращение издержек на сопутствующий управлению документооборот.
Кроме того, после внедрения подобной системы управления обеспечение информационной безопасности перестает быть уделом, ответственностью и обязанностью только узких специалистов. В управлении информационной системой начинает действительно активно принимать участие менеджмент организации:. ведь именно они теперь формируют требования к настройкам посредством механизма заявок.

Формула безопасности

Прислушиваясь к общим тенденциям на рынке информационной безопасности, разработчики объединяют различные средства защиты. Это делает подобные объединенные устройства более гибкими при внедрении в информационные системы предприятий и намного упрощает процесс установки и эксплуатации, в частности за счет технической поддержки одним вендором.

Тенденция замены программных решений программно-аппаратными комплексами сохранится. Можно предположить, что еще больше возрастет популярность программно-аппаратных решений с единым центром управления как среди производителей, так и среди потребителей. По прогнозам западных аналитиков, к 2007 году 80% всех решений информационной безопасности будет поставляться в виде «коробочных» многофункциональных комплексов, готовых к эксплуатации сразу после приобретения.

Оценив нынешний уровень развития технологий информационной безопасности, можно вывести формулу эффективной защиты: интеграция аппаратной платформы, межсетевого экрана и системы обнаружения и предотвращения вторжений, использующей сигнатурный и поведенческий анализ.

Интеграция = снижение стоимости + увеличение защищенности

В подходах ведущих производителей средств информационной безопасности в настоящее время доминирует принцип эшелонированной защиты. Вместо отдельных межсетевых экранов, устройств организации виртуальных частных сетей (VPN), антивирусных систем, систем обнаружения и предотвращения вторжений на рынок поставляются комплексные решения, в том числе и на программно-аппаратной основе (security appliance), интегрируемые в инфраструктуру компании для обеспечения информационной защиты на всех уровнях. Переход к объединению в одном продукте основных средств информационной защиты не только дает возможность упростить сетевую инфраструктуру, но и обеспечивает многоуровневую защиту с более эффективным управлением.

Информационную безопасность, эту, надо сказать, не маленькую статью расходов, раньше могли позволить себе только крупные компании. Компаниям среднего и малого бизнеса высокий уровень безопасности был не по карману из-за высокой стоимости и сложности разрозненных решений. До тех пор, пока эти решения не стали объединять в многофункциональные аппаратные и программно-аппаратные комплексы. Подобная интеграция позволила значительно снизить общую стоимость владения средствами защиты информации, упростить процесс установки и администрирования и в тоже время повысить уровень безопасности защищаемых информационных ресурсов. Физическое объединение влияет, в первую очередь, на стоимость системы, поскольку одна платформа дешевле нескольких, а технические ресурсы в такой консолидированной системе используются эффективнее. К тому же эти решения легко интегрируются в корпоративную среду.

Практически все основные производители средств защиты предлагают свои решения в этом сегменте, но лидирующие позиции занимают компании Internet Security System (продуктовая линейка Proventia), Symantec (Symantec Gateway Security) и Cisco Systems (Cisco ASA 5500). Однако стремление некоторых вендоров объединить коммутационное оборудование со средствами информационной безопасности может повлечь за собой образование узких мест в производительности подобных устройств или снизить эффективность функционирования средств защиты.

IPS в противовес интернет-угрозам

Необходимо не только обнаружение, но и блокирование вредоносных воздействий - переход к проактивной защите. Обнаружение вторжений без противодействия нельзя считать эффективным средством защиты. Приобретая систему информационной безопасности, пользователь преследует цель гарантированно защитить свои информационные ресурсы от злонамеренных действий. Поэтому на очередном витке развития информационных технологий, сталкиваясь с постоянной эволюцией угроз и следуя пожеланиям пользователей, разработчики средств информационной защиты предложили на смену IDS системы предотвращения компьютерных атак (Intrusion Prevention Systems - IPS).

Основа функционирования IPS - интеграция IDS с межсетевыми экранами. Кроме того обязательным условием эффективной работы IPS является установка системы «в разрыв» сети. Система IPS не только определяет, но и пытается остановить атаку, и даже может провести ответное нападение на атакующего. Наиболее распространенные типы реагирования - прерывание сессии и переконфигурирование межсетевого экрана.

Сегодня IPS - уже превалирующая технология, реализованная в продуктах практически всех известных производителей средств информационной защиты. Некоторые вендоры идут дальше и пытаются дополнить системы предотвращения атак уникальными разработками.

Программно-аппаратный комплекс Symantec централизованно блокирует шпионское ПО и бот-сети

Интересна в этом плане технология Virtual Patch, разработанная специалистами компании Internet Security System. Она предназначена для блокирования атаки, эксплуатирующей уязвимость в определенной системе, до официального выпуска «заплатки» производителем этой системы. Скорость выхода обновления для модуля Virtual Patch составляет несколько часов с момента обнаружения первой информации об уязвимости, после чего происходит рассылка обновлений и автоматическая реконфигурация сенсоров системы обнаружения атак.

Надежность и качество

Одна из ключевых тенденций в развитии информационной безопасности - повышение требовательности клиентов к качеству и надежности продуктов. Качество и надежность подразумевают действительно бесперебойную работу, отказоустойчивость и одновременно абсолютную прозрачность для сетевого трафика. Прежде всего бесперебойная работа продуктов безопасности связана с наличием надежно работающего оборудования и резервированием критичных к отказу блоков питания и запоминающих устройств. Для последних оптимально применение дисковых массивов горячей замены. Качество и надежность работы достигается оптимизацией программного обеспечения. Операционная система устройств обычно «усекается» под выполнение только задач защиты. За счет этого добиваются минимальной вероятности компьютерных атак на само средство защиты.

В устройствах Proventia серии G реализована технология аппаратного шунтирования, обеспечивающая беспрепятственный проход сетевого трафика через устройство в случае нарушений в его работе

При установке программно-аппаратных средств защиты в разрыв сети требования к надежности и отказоустойчивости возрастают в несколько раз, так как выход из строя устройства повлечет за собой нарушение функционирования сети. Дабы избежать этого, разработчики предусматривают механизмы так называемого аппаратного шунтирования, обеспечивающего беспрепятственный проход сетевого трафика через устройство в случае нарушений в его работе. К примеру, такая технология реализована в устройствах Proventia серии G компании Internet Security System. Также один из действенных способов увеличения надежности - объединение устройств в кластеры, что позволяет избежать появления единой точки отказа.

Системы обнаружения компьютерных атак - не панацея

В настоящее время львиную долю отечественного рынка информационной безопасности составляют межсетевые экраны, системы обнаружения атак (Intrusion Detection Systems - IDS) и антивирусные системы. Однако эти средства перестают удовлетворять современным требованиям, предъявляемым к защитным системам. И здесь нет ничего удивительного: интервалы времени между появлением сообщения об очередной новой точке уязвимости в программном обеспечении, выпуском «заплатки» и созданием программы, использующей эту уязвимость, сокращаются сегодня очень быстро. IDS всего лишь обнаруживают компьютерные атаки. Можно провести параллель между такой системой и термометром: последний лишь определяет температуру тела больного, но не является средством лечения. Получается, что система обнаружения компьютерных атак имеет только диагностическое значение.

Существуют две технологии обнаружения атак: технология сигнатурного анализа и так называемая технология выявления аномальной деятельности. IDS, основанные на первой из них, обнаруживают далеко не все атаки, а лишь те, которые уже описаны в сигнатурах (образец IP-пакета данных, характерного для какой-либо определенной атаки). Иными словами, они реагируют только на известные атаки и беззащитны перед новыми, неизвестными. Такие IDS работают по тому же принципу, что и антивирусные программы: известные вирусы ловятся, неизвестные - нет.

Появление новой сигнатуры всегда обусловлено анализом механизма уже прошедшей атаки и ее воздействия на какую-либо информационную систему. Хорошо, если это были действия, направленные на конкретные информационные ресурсы. А если это была, допустим, новая разновидность интернет-червя? Тогда пользователь защитной системы, созданной на основе технологии сигнатурного анализа, не застрахован от последствий возможной компьютерной атаки. Принцип работы «пронесет-не пронесет» устроит лишь тех пользователей, для которых не критична потеря информации, но не тех, чья деятельность основана на использовании информационных ресурсов.

Возникает резонный вопрос, а как же быть с неизвестными атаками? Случавшиеся в последнее время компьютерные атаки, например такие как Slammer или Nimda, ускользают от внимания программных средств, основанных на распознавании сигнатур, и практически мгновенно распространяются через локальные сети - задолго до того, как становится возможным какое-либо обновление систем защиты. Система, ориентированная на выявление новых типов атак, - это система выявления «аномального» поведения, которая отслеживает в сетевом трафике, в работе приложений и в других процессах все отклонения от нормы, контролирует частоту событий и обнаруживает статистические аномалии. Основанная на анализе поведения, такая система может остановить как известные, так и не встречавшиеся ранее виды несанкционированной деятельности. Однако и у нее есть существенный недостаток - трудности с формулировкой эффективных критериев того, что считать аномальным поведением, а что не считать.

Объединяя эти две технологии и устраняя таким образом их взаимные недостатки, можно получить средство обнаружения известных и неизвестных атак.

Системы защиты: фокус на комплексные решения

Лев Фисенко

, #06/2005

Сегодня средства информатизации и связи - один из главных факторов прогресса, без них невозможно представить поступательное развитие многих сфер человеческой деятельности. Информационные технологии прочно вошли в бизнес, образование, производство, открыв человеку небывалые возможности в достижении высоких скоростей получения и обработки информации, автоматизации производственных, управленческих и иных процессов. Глобальное проникновение информационных технологий в нашу жизнь, постепенный переход к электронным способам ведения бизнеса ставят перед участниками рынка новые задачи по обеспечению информационной безопасности. Всеобщая информатизация сопровождается ростом числа компьютерных преступлений и, как следствие, материальных потерь. Согласно отчетам МВД России, за последние три года количество правонарушений в области информационных технологий выросло более чем в 63 раза, а число инцидентов, связанных с несанкционированным доступом к компьютерной информации, увеличилось в 30 раз. Поэтому информационная безопасность стала обязательным условием ведения современного бизнеса.

В нашей стране к вопросам информационной защиты наиболее серьезно подходят компании, имеющие отношение к информационным технологиям, к банковскому сектору, сотовой связи, компании, проводящие операции с ценными бумагами. Что касается других организаций, согласно результатам различных исследований, руководители многих из них знают об основных видах угроз, но не уделяют должного внимания этим вопросам, полагая, что обеспечение информационной безопасности не имеет смысла, если отсутствует видимая угроза. То есть основная проблема в сфере информационной защиты - недостаточное внимание к ней руководства компаний и, как следствие, дефицит ее финансирования.

Тем не менее, постепенно руководители российских компаний изменяют свой взгляд на информационную безопасность, начиная относиться к ней как к одному из способов повышения конкурентоспособности компании. Как правило, сначала они осознают необходимость защиты от внешних атак, а позже, по мере изучения проблемы, - от атак внутренних.

Внешние угрозы - это, вирусные атаки, атаки типа «отказ в обслуживании» (в том числе распределенные), несанкционированный доступ на серверы компании, нарушение конфиденциальности передаваемой информации. Их появление обусловлено взаимодействием предприятия с внешними информационными системами. Но замыкаться на внешних угрозах, недооценивая серьезность внутренних угроз, было бы ошибкой, так как значительно больший ущерб компании может нанести некорректное поведение сотрудников, нарушающих корпоративную политику безопасности. Внутренние атаки не относятся к общим типам атак. В отличие от внешних злоумышленников, внутренний нарушитель - это авторизованный пользователь, имеющий официальный доступ к ресурсам интрасети, в том числе к тем, в которых циркулирует конфиденциальная информация. В России в основном используют службы информационной безопасности для защиты периметра интрасети, а защите от внутренних угроз уделяется гораздо меньше внимания. В действительности же представление о том, что безопасность можно обеспечить защитой периметра сети от внешних атак, уже давно изжило себя. Необходимо вырабатывать комплексную стратегию, обеспечивающую безопасность на всех уровнях - на уровне шлюза, сервера и клиента.



Сегодня вендоры объединяют коммутационное оборудование со средствами информационной безопасности

Закон об ЭЦП принят. Что дальше?

С. В. ВИХОРЕВ,

директор Аналитического Департамента

ОАО "ЭЛВИС-ПЛЮС"

Вот уже почти полгода Россия живет в "новую" эпоху, эпоху юридически значимых электронных документов.

Закон об ЭЦП уже принят, первый год уже прошел. Можно подводить некоторые итоги. Что изменилось? Решил ли этот закон все проблемы? Вот некоторые вопросы, которым посвящены эти материалы. Автор относит к их жанру "лирического эссе с юридическо-техническим уклоном".

Развитие человеческого общества на современном этапе нельзя себе представить без информационных технологий. За сравнительно короткую свою историю эти технологии сами прошли бурное развитие. Естественно, что вместе с ними развивались и технологии обеспечения безопасности информации.

Общеизвестно, что любая система безопасности должна строиться комплексно и охватывать все участки защищаемого технологического процесса, на всех этапах его жизненного цикла. Применительно к информационной сфере, решения по обеспечению безопасности информации должны обеспечивать равнопрочность защиты на всех этапах ее обработки и транспортировки. Иначе, наличие хотя бы одного незащищенного или слабо защищенного участка может сделать неэффективным вложения средств во все остальные меры защиты. Одним из таких участков как раз и является процесс обмена информацией, имеющей юридическую значимость.

Немного истории (к вопросу о постановке проблемы)

Еще не так давно, никто не задумывался о проблеме юридической значимости электронных сообщений. Действительно, нет сообщений - нет проблемы. Но вот эти самые сообщения появились (мы еще вернемся к этому). А потом этих сообщений стало много, и они стали нужны в деловых отношениях. А тут, аккурат, перестройка подоспела, все ускорялось, появилась необходимость и быстро совершать сделки, быстро обмениваться сообщениями, в том числе и таким, от которых многое зависит. Но мир не идеален, раз есть отношения, значит, есть и споры, значит, их надо решать. А суды эти "писульки" не принимают, мол, они не подписаны, мы не знаем что это такое, а посему они не имеют силы.
Стали слышны голоса: "Караул! Нам не дают работать! Нас зажимают!".

Тогда общество, в лице государства, задумалось: а действительно, можно ли доверять электронным сообщениям, не произошла ли их подмена в автоматизированной системе? Думало оно думало и, наконец, решило: доверять-то можно, но чтобы не было сомнений - сообщение, как положено, надо подписать! Сказано - сделано: "полученный из автоматизированной системы документ приобретает юридическую силу после его подписания должностным лицом в порядке, установленном российским законодательством" - сказало оно. Потом подумало еще и добавило: "юридическая сила документа, хранимого, обрабатываемого и передаваемого с помощью автоматизированных информационных и телекоммуникационных систем, может подтверждаться электронной цифровой подписью". А чтобы все об этом знали, все это записало в Законе "Об информации, информатизации и защите информации"1. Казалось бы, все в порядке - работайте на здоровье!

Но голоса не смолкли, а наоборот, стали еще сильнее: "Нам не сказали, как пользоваться этой самой электронной подписью! Нам мешают общаться, нам мешают торговать!". Хотя, автору кажется, что здесь была доля лукавства - ведь в системе S.W.I.F.T., Reuters юридически значимыми сообщениями (кстати, цена которых иногда очень велика) к этому времени уже обменивались, да и сейчас продолжают обмениваться. Да и действующий в то время Арбитражный кодекс говорил о допустимости представления в суд документов, полученных "посредством факсимильной, электронной или иной связи, либо иным способом". Это еще в августе 1994 года подтвердил Высший Арбитражный Суд2 РФ. "Изготавливать и подписывать договоры с помощью электронно-вычислительной техники и использованием системы цифровой подписи вполне допустимо. После возникновения конфликта стороны могут представить суду доказательства, заверенные такой подписью". Правда, Суд оговорил, что при разногласиях, необходим договор, определяющий процедуру устранения разногласий сторон и порядок определения достоверности подписи.


И еще раз год спустя, тот же уважаемый Суд подтвердил, что "при подтверждении юридической силы документа электронной цифровой подписью, этот документ может признаваться в качестве доказательства по делу, рассматриваемому арбитражным судом"3.

Государство еще раз задумалось (почти на пять лет), подумало, подумало, и решило по нажимом этих самых голосов в 2001 году выпустить еще один закон - Закон "Об электронной цифровой подписи". Этот закон4, направленный на определение правовых условий использования электронной цифровой подписи в электронных документах, при соблюдении которых она признается равнозначной собственноручной подписи, с одной стороны, ввел определенный порядок подписи электронных документов государственных учреждений, установил процедуру подтверждения правомочности электронной подписи специальными органами (сертификационными центрами), а с другой стороны, предоставил определенную свободу действий по организации подписи электронных документов в корпоративных сетях.

Да, еще очень немаловажный факт: появилась возможность признать иностранную цифровую подпись, удостоверенную в соответствии с законодательством иностранного государства на территории России при выполнении наших, российских процедур признания юридического значения иностранных документов5.

Ну, и что изменилось? Да, практически, ничего. Тот же порядок, что действовал раньше (работа на договорной основе) для тех, кто занимался бизнесом - остался, да голоса о том, что не хватает законодательной базы для ведения электронного бизнеса, стали тише. И вот уже прошло почти полгода, а бурного взрыва обменом юридически значимыми электронными документами что-то не отмечается. Где раньше был этот самый обмен - там и сейчас есть, а где его не было - там и нет.

Кто-то, прочитав эти строки, подумает: "Эк, автор загнул! Скоро сказка сказывается, да не скоро дело делается". Может быть и так, а может быть причина в другом? Может быть причина в том, что еще нет надежных средств создания электронной подписи, надежной и простой системы, позволяющей любому применить эту самую электронную подпись и которой можно доверять? То есть вся проблема из правовой смещается в техническую сферу.



Еще немного истории (о том с чего же все это началось)

В прошлом веке, когда все это начиналось, вычислительные машины (еще не "компьютеры, а "ЭВМ") были достаточно громоздки и дороги. Они использовались, как правило, в качестве "электронных счетов" для решения расчетных задач и математического моделирования различных процессов в автономном режиме. Потом их стали использовать в системах управления различными процессами. Позже возник момент, когда информация, обрабатываемая такими машинами, оказалась сосредоточена в одном месте, а пользователь этой информации находился в другом месте. Да и математические модели становились все сложнее, и ресурсов одной ЭВМ уже не хватало. Вот и возникла необходимость несколько машин соединить в одну сеть. К этому времени сами ЭВМ стали намного дешевле и более компактными. Но это еще не революция.

А вот когда ЭВМ стали совсем маленькими и доступными достаточно широкому кругу специалистов, и когда родилась идея с их помощью передавать друг другу информацию, вот тогда и произошла революция. Персональный компьютер, как теперь стали называть ЭВМ, превратился из средства моделирования и расчетов в средство общения, средство передачи информации. А потом уже были Интернет-технологии, которые позволили создать глобальные информационные сети. Это было как нельзя кстати, так как на дворе начинался информационный бум. И все бы было хорошо в нашем королевстве, если бы не одно "но". В бочке меда оказалась ложка дегтя. Переход от автономного использования компьютеров к сетевым технологиям породил одну очень существенную проблему, которой раньше даже не могли себе представить. Это и была проблема подтверждения подлинности сообщения.

Для бумаги все просто. Подпись на протяжении веков является обязательным реквизитом любого документа, как служебного, так и личного. Еще при Иване Грозном наиболее важные документы скреплялись Большой государственной печатью и собственноручной подписью, при осуществлении каких либо сделок с неграмотным человеком, требовалось приложение к документу оттиска его пальца или проставление "креста". (Это очень важно! к этому мы вернемся чуть ниже!) Но и раньше и сейчас иногда на документах можно увидеть воспетую классиками "резиновую печать "Отказать.


Полыхаев"" - факсимиле. Это очень удобный заменитель, точно копирующий рисунок собственноручной подписи. Безусловно, факсимиле может служить дополнительным признаком, подтверждающим подлинность документа, но ни как не основным.

О чем идет речь (суть проблемы)

С электронными посланиями все немного сложнее. Требуется не только подтверждение юридической значимости полученного сообщения (аутентификация), но и подтверждение личности того, кто отправил сообщение (идентификация)6. Да еще надо подумать о том, чтобы само сообщение дошло без искажений. Таким образом, решение одной проблемы выливается в решение трех взаимосвязанных задач:

подтверждение авторства сообщения (идентификация); подтверждение подлинности сообщения (аутентификация); обеспечение целостности передаваемой информации.

А это уже задачи защиты информации.

Не будем пока трогать проблему целостности, а поговорим о технической возможности подтверждения подлинности сообщения и его авторства.

В настоящее время метод электронной цифровой подписи (ЭЦП) становится доминирующим в процессе идентификации автора и аутентификации самого электронного сообщения. На этой основе построены практически все действующие стандарты и системы электронного документооборота и электронной торговли.

В мировой практике под электронной подписью понимается, вообще говоря, символ или некоторый другой идентификатор, созданный электронными средствами, обрабатываемый или принимаемый другой стороной с намерением подтвердить подлинность электронного сообщения. Принципы и алгоритмы при этом могут применяться самые разнообразные. (Вопрос о надежности того или иного алгоритма здесь не обсуждается).

Сам по себе процесс подтверждения электронного документа ЭЦП достаточно сложен. Его изучение требует знания основ криптографии и выходит за рамки этой статьи. Отметим только, что этот процесс не возможен без наличия так называемого "секретного ключа", который хранится только у отправителя, и тесно связанного с ним "открытого ключа", которым может владеть любой пользователь на другом конце.


На основе " секретного ключа" передаваемое сообщение снабжается специальным атрибутом, а математические методы позволяют однозначно определить с использованием на другом конце "открытого ключа", откуда оно было отправлено. От сохранности "секретного ключа" напрямую зависит степень надежности любой системы ЭЦП.

Иными словами мы сталкиваемся с одной из важнейших проблем - проблемой отделимости такой подписи от ее владельца. Собственноручная подпись (то есть автограф) по вполне понятным причинам неотделима от ее обладателя. Совсем другое дело ЭЦП, точнее ее "секретный ключ", который, к сожалению, представляет собой определенный файл, хранимый, как правило, в компьютере автора сообщения и, естественно вполне отделим. Доступ к этому ключу осуществляется на основе пароля, записанным на интеллектуальной карте, токене или другом аналогичном устройстве (идентификаторе). Такой подход нельзя считать надежным и удобным, особенно при массовом использовании. Владелец этой карты может ее передать другому лицу или даже потерять. И, конечно же, новый владелец может воспользоваться этим паролем для подписи фиктивного сообщения.

Таким образом проконтролировать правомерное использование "секретного ключа" является достаточно проблематичной задачей, особенно с доказательной для арбитража точки зрения. Как видно, в данном случае ЭЦП может исполнять роль только факсимиле, но ни как не автографа автора. (Вспомните, как в Государственной думе первых созывов, при голосовании "электронными карточками" число голосов оказывалось больше числа присутствующих в зале депутатов.)

Можно ли сделать электронный цифровой автограф?

Так в чем же собственно существенная разница между собственноручной подписью (автографом) и факсимиле? Самое существенное то, что факсимиле может существовать отдельно от автора, а автограф - нет (это, кстати, и ответ некоторым "оппонентам", уже ратующим за изменение нового закона об ЭЦП и предлагающих закрепить подпись не за физическим, а за юридическим лицом - мол, это удобнее, - может это и удобнее, но вряд ли юридически правильно).


Все упирается в то, что при формировании автографа используются биометрические параметры самого человека (нажим, скорость письма, характерные росчерки и пр.), а факсимиле может ставить и автомат. Заметим также, что ЭЦП это результат "математических преобразований", а не оцифрованный образ рукописной подписи. Между тем, существует целый ряд методов, позволяющих с очень высокой степенью достоверности обеспечить привязку ЭЦП к автору сообщения. Примером может служить технология цифровой обработки биометрических параметров: папиллярного узора отпечатка пальца, радужной оболочки глаза, наконец, самого рукописного автографа. Только в этом случае можно говорить, что электронная цифровая подпись стала аналогом собственноручной подписи (автографа). Проблема отделимости ЭЦП от автора сообщения или, что в принципе, одно и то же, проблема сохранности "секретного ключа", может быть решена путем жесткой привязки процесса формирования и использования "секретного ключа" к какому-либо биометрическому параметру человека. Такая привязка должна обеспечить надежное закрытие собственно "секретного ключа" и включение образа биометрического параметра в состав электронного сообщения.

Вместе с тем, необходимо отметить, что спрос на системы, которые это умеют делать, будет только в случае их достаточной дешевизны. Такая система, на взгляд автора, должна как минимум обеспечивать:

формирование собственно электронно-цифровой подписи; распознавание образа, созданного на основе биометрического параметра; включение этого параметра в электронное сообщение; закрытие "секретного ключа" на основе образа биометрического параметра; обработку сообщения у получателя.

Целесообразно было бы, что бы такие системы дополняли уже существующие системы защиты информации и формирования ЭЦП. Это позволит получить комплексную систему обеспечения безопасности информации корпоративных сетей. Наиболее простым в этом случае может быть использование специальных дактилоскопических датчиков, вырабатывающих парольный код, только при совпадении папиллярного узора (вспомните "приложение к документу оттиска пальца").


При этом сам код должен применяться не только как пароль для входа в систему, но и непосредственно участвовать в процессе генерации "секретного ключа". Плохо, что существующие и международные, и российские стандарты, применяемые в электронном документообороте и электронной торговле, к сожалению, не охватывают эту проблему, утверждая, что она выходит за их рамки. Но с другой стороны это позволяет разработчикам систем ЭЦП активно начать их применение ("что не запрещено, то разрешено").

Кстати, еще одна проблема

Это проблема создания, хранения и управления закрытыми и открытыми ключами или, как говорят специалисты, построение инфраструктуры PKI. Естественно, что сама по себе инфраструктура обеспечения ЭЦП это достаточно сложная автоматизированная система и она сама требует определенных мер защиты (если не сказать больших). Ведь, как ни крути, а именно в этой системе сосредоточена вся наиважнейшая информация об адресатах и их "закрытых ключах". Но и "открытые ключи", как ни странно, тоже требуют усиленной защиты. Ведь сам такой ключ справедлив только в том случае, если сопровождается неким специальным документом - цифровым сертификатом (и, заметьте, этот документ тоже электронный и на него распространяются все правила, применимые к таким документам). Отметим, что, хотя подделать такой цифровой сертификат без "закрытого ключа" практически невозможно, изменить содержимое самого сертификата - реально. А это уже предпосылка к невозможности его аутентификации, то есть сама система отторгнет этот документ. Если это так, то о какой инфраструктуре ЭЦП может идти речь?

Кроме того, надо предусмотреть еще и процедуру аннулирования ЭЦП. Это необходимо на случай, если произойдет какой-нибудь сбой в системе или владелец сертификата перестанет заслуживать доверия.

Несколько слов о роли даты

Обычно документ считается документом, если есть дата его регистрации. В электронных сообщениях дата становится одним из важнейших параметров (реквизитов).


Правда и здесь происходит некоторая трансформация. Наверное, правильнее говорить не столько о дате, сколько о точном времени создания электронного сообщения. Проблема синхронизации действий всех средств относительно единого источника времени - единой точки отсчета - это еще одна большая проблема, которая выходит за рамки этой статьи.

Допустим, что любое электронное сообщение перед передачей его в канал связи регистрируется и маркируется специальным атрибутом, в котором содержится точное время его отправки и сведения о том сервере, откуда он отправлен. Допустим так же, что имеется некий злоумышленник, который смог-таки создать фальшивый электронный образ папиллярного узора автора сообщения. Чтобы внести какие-либо изменения в истинное электронное сообщение, ему нужно время. Время прохождения сигнала электронного документа по каналам связи, в принципе, всегда заранее известно. Поэтому, получив электронное сообщение с временной меткой всегда можно сверить время его прохождения и при различиях во времени (например, задержка в его получении), приемный сервер всегда может запросить у передающего подтверждение отправки документа. Если же повторное сообщение не совпадает с первоначально полученным сообщением, то можно с уверенностью говорить, что произошло несанкционированное вмешательство.

Таким образом, временная метка становится одним из важнейших элементов подтверждения подлинности электронного документа. Она в данном случае играет роль мастичного штампа учреждения с датой и регистрационным номером документа.

Вместо заключения

Итак, что мы имеем? Дата и время создания электронного сообщения - близко к понятию штамп с регистрационным номером. ЭЦП без биометрических параметров - факсимиле. ЭЦП с биометрическими параметрами - собственноручный автограф.

То есть, формируемая ЭЦП должна содержать метку времени, а при ее формировании должны использоваться биометрические параметры человека, которому она принадлежит. Эти вопросы выходят за рамки юриспруденции и, вряд ли, должны быть включены в законы, но они достойны быть включенными в стандарты, определяющие требования к средствам создания ЭЦП (не к алгоритмам "математических преобразований", а именно к техническим средствам).

Примечания:

1 Федеральный Закон "Об информации, информатизации и защите информации", 1995 г., ст. 5

2 Письмо ВАС от 19.08.1994 г. No. С1-7 / ОП-578.

3 Письмо ВАС от 7.06.1995 г. No. С1 / ОЗ-316

4 Федеральный закон "Об электронной цифровой подписи", 2002 г., ст. 1

5 Федеральный закон "Об электронной цифровой подписи", 2002 г., ст. 18

6 Для справки. Согласно энциклопедическому словарю (изд. 1988 года под редакцией А. М. Прохорова):

Идентификация - установление тождества объекта или личности по совокупности общих и частных признаков, например идентификация личности по почерку, по следам рук.

Аутентификация - официальное признание текста равнозначным другому тексту, составленному на другом языке (в том числе и машинном - авт.) и имеющим одинаковую с ним юридическую силу.

Атака администратора системы

В том случае, если пароль заполучить не удастся, злоумышленнику ничего не останется, как прибегнуть к атаке на технические средства (т.е. непосредственно на компьютеры). Однако правильно сконфигурированную и хорошо защищенную систему ломать "в лоб" практически бесполезно. Вот если бы в ней была дыра...

Один из нетехнических способов пробивания дыр выглядит приблизительно так: злоумышленник звонит администратору и сообщает, что из достоверных источников ему стало известно о готовящейся (или уже совершенной) атаке. Никаких деталей звонящий, естественно, не сообщает (он ведь не взломщик, а "знакомый" взломщика), но приблизительное местонахождение дырки все же указывает. Существует ненулевая вероятность того, что администратор, пытаясь повысить безопасность своей системы, допустит несколько ошибок, упрощающих атаку. (И эта вероятность тем больше, чем сильнее волнуется администратор).

Для отвлечения внимания злоумышленники часто прибегают к имитации атаки, выполняя различные бессмысленные, но целенаправленные действия. Автору этой статьи известно несколько случаев, когда в ответ на мусор, направленный в 80й порт, администраторы просто "срубали" WEB-сервисы, поскольку, будучи предупрежденными об "атаке", считали: лучше на время остаться без WEB'а, чем позволить хакерам проникнуть в локальную сеть и похитить конфиденциальную информацию. Естественно, простой WEB-серверов обернулся внушительными убытками, хотя никакой опасности на самом деле и не было. Так что не стоит шарахаться от каждой тени и любое непонятное действие расценивать как вторжение в систему.

Развивая идею дальше, злоумышленники догадались, что выдавать себя за знакомого злоумышленника, согласного за определенное вознаграждение быть осведомителем, гораздо выгоднее, чем атаковать систему. К тому же, "осведомителя" чрезвычайно трудно привлечь к ответственности, поскольку факт обмана практически не доказуем, а имитация атаки, не влекущая несанкционированного доступа к системе (блокирования системы), вообще не наказуема. Причем, для такой "атаки" злоумышленнику не требуется практически никакой квалификации, и стать "хакером" может буквально любой! Поэтому, не спешите оплачивать услуги осведомителя, даже если он согласен "работать" почти задаром, - сначала убедитесь, что это действительно осведомитель, и что вас действительно атакуют, а не создают лишь видимость атаки! Но не забывайте, что упускать из рук настоящего осведомителя (а такие - не редкость среди хакеров) очень глупо.

Бесплатное приобретение программных продуктов

Хищение денег - это достаточно рискованный способ мошенничества и, в случае неудачи, он может обернуться лишением свободы на длительный срок. Поэтому, многие предпочитают воровать не деньги, а их материальное воплощение.

Предположим, злоумышленнику требуется некоторый программный пакет и/или техническая консультация. Взломать демо-версию или атаковать локальную сеть фирмы-разработчика? Чревато! Лучше, представившись журналистом, попросить один экземпляр программы в обмен на обещание разрекламировать ее в некотором популярном журнале. Какая фирма не клюнет на такую заманчивую перспективу? К тому же вместе с продуктом злоумышленник получит и квалифицированную техническую поддержку непосредственно от самих разработчиков, а не девушек-операторов, обслуживающих рядовых клиентов.

Если вы хотите избежать обмана - пересылайте продукт не напрямую, а через издателя. Он-то наверняка знает своих журналистов! Впрочем, вполне "всамомделешний" журналист может продукт взять, а статью не написать. Или написать, но по независящим от него причинам не суметь ее опубликовать...

Злоумышленнику придется сложнее, если требуемый ему продукт настолько специфичен, что вообще отсутствует на рынке. Разработка "под ключ" обычно стоит дорого, очень дорого, но если проявить чуточку смекали… Вот на сайте аля www.jobs.ru появляется объявление о высокооплачиваемой работе по Интернету. Прием сотрудников, естественно, происходит на конкурсной основе и каждому кандидату дается тестовое задание, по результатам выполнения которого и судят о его, кандидата, профессионализме. Вы не прошли тест? Не расстраивайтесь! Подучитесь, а потом попробуйте свои силы снова, если, конечно, к тому времени не поймете, кто остался с носом, а кто - с готовым продуктом. Самое печальное, что предъявлять злоумышленнику гражданский иск бессмысленно, поскольку состав преступления отсутствует.

Защитить себя от подобных обманов очень трудно, поскольку, аналогичная схема набора сотрудников широко используется и легальными фирмами. Напротив, очень немногие работодатели готовы оплачивать работу "котов в мешке". Поиск хорошей работы - это вообще рулетка и без разочарований здесь не обойтись.

Игра на чувствах

Поскольку, шантаж - дело наказуемое, злоумышленники по возможности используют более законные пути. Например, покорив сердце некоторой сотрудницы, мошенник в один прекрасный день может заявить, что он-де проигрался в карты и теперь вынужден долгие годы отрабатывать долг батраком в Казахстане. Правда, есть один вариант… если его пассия скопирует такие-то конфиденциальные документы, он сумеет их продать, - тогда никуда уезжать не потребуется и любовный роман продолжится… Впрочем, не обязательно играть именно на любви. Ничуть не хуже толкает на преступление алчность, желание отомстить руководству или попытка самоутвердиться.

Множество подобных авантюр совершаются по ICQ, что чрезвычайно осложняет поиски злоумышленника. Поэтому, администраторам настоятельно рекомендуется запретить пользоваться ICQ всему персоналу или, на худой конец, хотя бы контролировать содержимое разговоров. (Безнравственно, конечно, но что поделаешь). Разумеется, не стоит забывать и об электронной почте. А еще лучше не принимать на ответственные должности романтических или психологически неуравновешенных лиц, даже если они хорошие специалисты.

Маска, я тебя знаю или как злоумышленники выдают себя за другое лицо

Электронная почта, конечно, штука хорошая, но слишком уж небезопасная. Неудивительно, что многие из нас предпочитают все более или менее важные дела решать по телефону (так, по крайне мере, слышен хотя бы голос собеседника). Злоумышленника, выдающего себя за другое лицо, могут серьезно озадачить просьбой оставить свой телефон. Конечно, можно просто подключиться к "лапше" на лестничной площадке или прибегнуть к помощи таксофона (многие таксофоны умеют принимать и входящие звонки). Однако существуют и более изощренные приемы. Рассмотрим два, наиболее популярных, из них.

Место встречи изменить нельзя

В некоторых случаях возможностей телефонных и компьютерных сетей оказывается недостаточно и злоумышленнику приходится прибегать к встречам "в живую". Как убедительно выдать себя за другое лицо, да так, чтобы у жертвы не возникло и тени сомнения? Ведь, в противном случае она запросто может попросить предъявить документы, а качественно подделать документы очень сложно (во всяком случае, для одиночки).

Допустим, злоумышленник выдает себя за сотрудника некоторой фирмы и, чтобы вы окончательно поверили в это, договаривается встретиться с вами в здании фирмы. Чтобы не возиться с выписыванием пропусков, он предлагает подождать вас на проходной. Для усиления эффекта проходящие мимо "сотрудники" могут здороваться со злоумышленником и жать ему руку. Зима, кстати, лучший помощник злоумышленника. Сняв верхнюю одежду и спрятав ее, например, в припаркованной рядом машине, он окончательно развеет ваши сомнении относительно его личности.

Отъем денег

Это только в американских боевиках одетые в маски грабители вламываются в какой-нибудь банк и, угрожая оружием, требуют деньги на бочку. В России же все происходит гораздо проще. Вездесущий бардак и халатное отношение к собственным обязанностям позволяют присвоить чужую зарплату простой росписью в ведомости. Автор этой статьи был до глубины души поражен, когда обнаружил, что многие издательства выплачивают гонорары, не требуя ни паспорта, ни другого удостоверения личности! Просто заходишь в бухгалтерию, говоришь, что ты за северный олень такой, царапаешь фамилию в ведомости (не обязательно свою и не обязательно ту же самую, что в прошлый раз), получаешь наличные и, не забыв сказать "до свидания", уходишь.

Ситуацию серьезно осложняет то обстоятельство, что далеко не всех своих корреспондентов издатель знает в лицо, т.к. многие из них проживают в другом городе или даже стране. Для пресечения обмана все денежные вопросы следует решать не по электронной почте, но телефону, а еще лучше - выплачивать гонорар только после заключения договора. (Договор же можно переслать обычной почтой или, на худой конец, по факсу). Кстати, встречаются и недобросовестные авторы, которые, получив деньги, требуют их снова, мотивируя это тем, что гонорар якобы получил кто-то другой, выдавший себя за них.

Приемы хищения паролей

Вероятно, самый известный прием похищения пароля - это звонок жертве от имени администратора системы или, напротив, администратору - от имени некоторого пользователя. Просьба в обоих случаях одна, - под каким бы то ни было предлогом сообщить пароль на некоторый ресурс. К счастью, актуальность атак этого типа за последний год значительно снизилась - все-таки жизнь чему-то учит! Однако не стоить питать иллюзий по поводу своей защищенности. Она в большинстве случаев мнимая.

Лучший способ выведать пароль - не спрашивать его. Напротив, строго-настрого запретить говорить! Это может выглядеть, например, так: "Ало, здравствуйте! С Вами проводит разъяснительную беседу эксперт по безопасности Вася Пупкин. Помните ли Вы, что никогда, ни при каких обстоятельствах, никому-никому не должны сообщать свой пароль? А помните, что пароль должен состоять из комбинации букв и цифр? Кстати, какой он у Вас?" Поразительно, но многие, пропуская "разъяснительную беседу" мимо ушей, называют свой действительный пароль! Причем, атакующий в случае провала ничем не рискует, т.к. вопрос "какой у Вас пароль" можно понимать двояко - какой именно пароль, и какой пароль вообще (длиннее восьми символов, является ли словарным словом или нет и т.д.).

А если пользователи окажутся достаточно сообразительными для того, чтобы не сообщать свой пароль первому встречному? Тогда, учитывая, что очень многие из нас склонны назначать одинаковые пароли на все ресурсы, злоумышленник просто подсунет жертве ресурс, требующий аутентификации (например, предложит подписаться на почтовую рассылку). В крайнем случае, он узнает если не сам пароль, то хотя бы привычки жертвы - выбирает ли она в качестве паролей словарные слова, и если выбирает, то по какому принципу. Разумеется, для подобного анализа придется отследить несколько назначений паролей, но никаких подозрений жертвы (даже самой квалифицированной!) это не вызовет. Поэтому, никогда не назначайте одинаковые или близкие пароли на различные ресурсы!

Для низко квалифицированных пользователей припасена и другая тактика. О том, что свой пароль разглашать ни в коем случае нельзя, их, вероятнее всего, уже предупредили. Но сказали ли им: где этот пароль хранится и как его можно обойти? Злоумышленник может попросить (а от имени начальника и приказать) выполнить некоторые, вполне безобидные с точки зрения жертвы действия, например, переслать PWL файл по такому-то адресу или создать нового пользователя с пустым паролем. (Причем, выполняя по шагам расписанные действия, жертва, возможно, даже не осознает, что она вообще делает). Помните, низко квалифицированный оператор - все равно, что обезьяна с гранатой!

Кстати, постоянная смена паролей - это худший выход из ситуации, создающий проблем больше, чем их решающий. Никто не будет и пытаться запомнить длинные, постоянно меняющиеся да к тому лишенные всякого смысла пароли! Все будут их… записывать! Никакие угрозы администратора ситуацию не исправят, а, напротив, ее усугубят. Поставьте себя на место пользователя, в заветном месте хранящего такую бумажку с паролем. А теперь вообразите, что некий "доброжелатель" из "соседнего отдела" вам звонит и сообщает, что вас ожидает тотальный обыск на предмет поиска парольных бумажек с последующим увольнением всех, у кого такая бумажка обнаружится. Не знаю, сожжете ли Вы свою бумажку или запьете ее молоком, но есть ненулевая вероятность того, что кто-то избавится от изобличающих его улик через окно или мусорную корзину. Злоумышленнику остается лишь хорошо порыться в мусоре или под окнами фирмы. Поэтому, любое приказание и любая служебная инструкция должна составляться осмысленно с учетом реальной ситуации, а не теоретических измышлений. Люди - не компьютеры!

В некоторых, не таких уж редких случаях, злоумышленник имеет принципиальную возможность подсмотреть набираемый на клавиатуре пароль (например, с помощью сильного бинокля, расположившись в соседнем здании). Самое трудное - уследить за быстро набираемым паролем, к тому же частично закрытым руками и другими частями тела.Каким либо образом инициировав смену паролей (например, путем имитации атаки), он существенно упростит свою задачу. Ведь новый пароль уже не наберешь "на автомате"!

Для предотвращения утечки информации компьютеры лучше всего располагать так, чтобы ни монитор, ни клавиатура, ни принтерные распечатки не были видны ни из окон, ни из дверей. Эти несложные меры значительно усложнят хакеру проникновение в систему.

Секретное оружие социальной инженерии

"Искусство рассуждать - это искусство обманывать самого себя". Емец Антуан де Сент-Экзюпери "Цитадель"

Шантаж

Если попытки получить требуемое путем обмана ни к чему не приведут, то злоумышленник может отважиться на прямой шантаж сотрудников фирмы. Статистика показывает, что угроза физической расправы встречается довольно редко, а, если и встречается, то в подавляющем большинстве случаев лишь угрозой и остается.

На первом месте лидируют обещания рассказать ревнивому мужу (жене) о супружеской измене, - не важно имела ли она место в действительности или нет. Для этого вовсе не обязательно устанавливать скрытые камеры или заниматься фотомонтажом, - достаточно быть хорошим рассказчиком, умеющим убедить собеседника. Опасаясь за распад семьи, многие из нас идут на мелкие (с нашей точки зрения) должностные преступления, оборачивающиеся, тем не менее, значительными убытками для фирмы.

Второе место занимают угрозы убедить сына (дочь) в том, что вы не настоящие родители. Поскольку, в подростковом возрасте между детьми и родителями часто случаются серьезные конфликты, вероятность того, что ребенок поверит постороннему дяде, чем и нанесет себе тяжелую душевную травму, отнюдь не нулевая!

Способ борьбы с такими шантажистами только один - полное взаимное доверие между членами семьи. Руководители фирм должны осознавать, что семейное благополучие сотрудников - залог их, руководителей, безопасности.

В любом случае - никогда не идите на поводу у шантажиста. Этим вы лишь глубже затягиваете себя в его сети. Напротив, проявив безразличие, вы обезоруживаете мошенника, обессмысливая тем самым шантаж и заставляя его искать другие пути.

Кстати, достаточно широко распространенный способ имитации шантажа для проверки моральной устойчивости сотрудников юридически незаконен. И "подопытный" сотрудник имеет полные основания для подачи иска за нанесенный ему моральный ущерб.

СПАМ и все что с ним связано

Массовая рассылка - идеальное средство для поиска простаков. А чужая глупость - отличное средство наживы. В последнее время в сети стало появляться все больше и больше предложений о вложении своих денег в акции. Поразительно, но урок, преподнесенный МММ, так ничему и не научил. Многие по-прежнему обращают внимание лишь на рост котировок, совершенно не интересуясь источником прибыли. А источник-то прост! Фирма, выкинув на биржу акции, через некоторое время сама же скупает их по завышенной цене, чем и привлекает к себе клиентов. Вложения же клиентов идут на очередную закупку акций… Так происходит до тех пор, пока приток клиентов не начинает мельчать, после чего фирма ликвидируется и все акционеры остаются с носом.

Про всевозможные финансовые пирамиды и предложения о заработке огромных куч денег в кратчайшие сроки не стоит и говорить. Если, вовремя продав акции, вы еще можете хоть что-то заполучить, то "сетевой заработок" - просто откровенная дуриловка, не приносящаяся никакого дохода вообще. Поскольку, это печальное обстоятельство наконец-то стало доходить до любителей халявы, интерес к супер-бизнесу начал мало-помалу ослабевать. Не нужно быть ясновидцем, чтобы предсказать скорого появления сообщений, предлагающих небольшой заработок. На фоне остальных это будет выглядеть весьма убедительно, но, тем не менее, останется той же самой ложью.

Кстати, ни в коем случае не клюйте на объявления о продаже дорогих вещей, пускай по сильно заниженной цене, т.к. этот трюк широко используется мошенниками для поиска богатых людей со всеми вытекающими отсюда последствиями (в лучшем случае просто ограбят, а в худшем же…).

Вообще, лучше игнорируйте массовую рассылку, и не отвечайте ни на какие спамерские сообщения. По-настоящему хорошие товары и способы заработка никогда не рекламируются таким дешевым способом.

Техника проникновение на охраняемый объект без использования отмычек

Проникнуть на фирму, пускай у двери стоит хоть десяток охранников, зачастую проще простого. Предъявляем паспорт, говорим: кто мы такие и к кому идем. Причем, названное имя не обязательно должно совпадать с именем в паспорте. Объясняем: тот, к кому мы идем, знает нас под сетевым псевдонимом. Охранник звонит указанному лицу и сообщает, что его хочет видеть такая-то личность. Получив "добро" (а "добро" очень часто дается без уточнения подробностей), охранник дает мошеннику "зеленый свет". Разумеется, злоумышленнику вовсе не обязательно быть сетевым другом одного из сотрудников. Достаточно лишь знать имена его знакомых, выяснить которые не составит никакого труда. (Особенно, если сотрудник злоупотребляет ICQ или Интернет - форумами).

На первый взгляд, знание паспортных данных позволяет без труда найти злоумышленника. Это так, но не стоит обольщаться, - доказать его причастность к грамотно спланированной атаке будет очень непросто! Ведь не компьютер же будет выносить в кармане злоумышленник! Вероятнее всего, он постарается подсмотреть набираемый пароль или, обнаружив в пустующем кабинете включенный компьютер, занесет туда шпиона.

Для предотвращения подобных инцидентов следует сопровождать всех посторонних лиц от самого входа до места назначения, не позволяя им самостоятельно бродить по помещению.

Уход от ответственности

Успешно выполнить атаку - означает решить лишь половину задачи. Злоумышленнику еще предстоит замести за собой следы - уйти от ответственности и не попасться. А это, кстати, намного сложнее! Поэтому, матерые мошенники, похитив энную сумму денег, без тени жалости переводят большую ее часть на счет одного из сотрудников фирмы, который в принципе подходит на роль похитителя. Причем, это должен быть жадный, азартный и умственно недалекий человек, который, обнаружив на своем счете "лишние" деньги, с высокой степенью вероятности рискнет прикарманить добро, само идущее к нему в руки, а не побежит в милицию. Затем следует анонимный звонок (письмо) директору фирмы с сообщением: где следует искать пропавшие деньги и… жертве будет чрезвычайно трудно доказать, что она тут ни при чем, и убедить остальных, что ее подставили. Конечно, путь денег - кто именно перевел их жертве - проследить вполне возможно (особенно, если это крупная сумма), но, во-первых, злоумышленник может переводить деньги через подставное лицо. А, во-вторых, даже будучи пойманным, он сможет заявить, что он не главарь, а пешка и вообще не знал, что деньги ворованные. При условии, что злоумышленник оставит себе меньшую часть награбленного, такая легенда будет звучать весьма убедительно. Поэтому, при "разборе полетов" ни в коем случае не хватайте первого попавшегося под руку обвиняемого, - в большинстве случаев он действительно ни в чем не виновен.

Другой способ "перевода стрелок" заключается в психологической обработке лиц, "помешанных" на подражательстве хакерам, но хакерами не являющимися. Сначала их убеждают, что пребывание в тюрьме - явление вполне нормальное для хакера, затем демонстрируют целую серию эффективных "взломов", чем вызывают глубокое уважение к себе. Наконец, когда "клиент" готов, мошенник предлагает ему стать своим учеником, после чего руками ученика осуществляет реальный взлом. В случае раскрытия преступления ученик может и не выдать своего "наставника" (а при правильной психологической обработке и не выдаст, хоть режь его на куски). А, если даже и выдаст, следствию будет не так-то легко уличить злоумышленника, ведь все предыдущие атаки - фикция! "Наставник" без больших трудов сможет представить все это невинной игрой. Он-де, просто забавлялся, не причиняя никому никакого вреда. А о том, кто руководил "учеником" в настоящей атаке, - не имеет ни малейшего представления.

Впрочем, заставить ученика молчать можно и другими способами, тем же шантажом, скажем, но об этом позже.

Даже самая совершенная система защиты

Даже самая совершенная система защиты бесполезна, если ей управляет психологически неустойчивый, наивный и/или доверчивый человек. Помните анекдот о диссертации на тему "зависимость скорости перебора паролей от температуры паяльника (утюга)"? Многие почему-то забывают, что в роли объекта атаки может выступать не только машина, но и ее оператор. Причем, оператор зачастую оказывается слабейшим звеном в системе защиты.
На хакерском жаргоне атака на человека называется социальной инженерией (social engineering) и в своем каноническом виде обычно сводится к звонкам по телефону с целью получения конфиденциальной информации (как правило, паролей) посредством выдачи себя за другое лицо.
В данной статье термин "социальная инженерия" рассматривается намного шире и обозначает любые способы психологического воздействия на человека, как то: введение в заблуждение (обман), игра на чувствах (любви, ненависти, зависти, алчности, в том числе и шантаж).
Собственно, подобные приемы не новы и известны еще со времен глубокой древности. Остается только удивляться тому, что за истекшие тысячелетия человечество так и не научилось противостоять мошенникам и отличать правду ото лжи. Еще удивительнее то, что арсенал злоумышленников не претерпел никаких принципиальных изменений. Напротив, с развитием коммуникационных технологий их задача значительно упростилась.
Общаясь по Интернет, вы не видите и не слышите своего собеседника, более того, нет никаких гарантий, что сообщение действительно отправлено тем адресатом, имя которого стоит в заголовке. Атакующий может находиться и в соседней комнате, и в соседнем городе, и даже на соседнем континенте! Все это значительно усложняет идентификацию личности, поиск и доказательство причастности злоумышленника к атаке. Стоит ли удивляться огромной популярности социальной инженерии среди молодежи?
К счастью, подавляющее большинство мошенников действует по идентичным или близким шаблонам. Поэтому, изучение приемов их "работы" позволяет распознать обман и не попасться на удочку. Автором этой статьи собрана обширная коллекция хакерского арсенала, наиболее популярные "экспонаты" которой представлены ниже. Конечно, на исчерпывающее руководство по обеспечению собственной безопасности данная публикация не претендует, но общее представление о методиках хищения денег и/или информации все же дает.

Введение в заблуждение (обман)

Введение в заблуждение - основной "компонент" социальной инженерии, включающий в себя целый ряд всевозможных техник: выдача себя за другое лицо, отвлечение внимания, нагнетание психологического напряжения и т.д. Конечные цели обмана так же весьма разнообразны. Ниже мы рассмотрим лишь наиболее популярные из них: отъем денег, получение несанкционированного доступа к конфиденциальной информации и уход от ответственности путем перевода подозрений на постороннее лицо.

Захват телефона

Допустим, злоумышленник выдает себя за сотрудника такой-то компании. В телефонном справочнике он находит телефон секретаря этой компании и просит соединить его с охранником, а заодно - сообщить его телефонный номер (зачем - мошеннику придумать большого труда не составит). Если охранник действительно имеет телефон (а, что, встречаются охранники без телефона?), разыгрывается следующая комбинация. Дав жертве телефон секретаря фирмы, и, сообщив "добавочный" охранника (но, умолчав, что это - охранник), злоумышленник под каким-либо предлогом просит жертву позвонить ему в строго определенное время. Незадолго до назначенного срока злоумышленник заходит в фирму, где и встречается с охранником, сидящим у входа. Рассказав какую-нибудь душещипательную историю (типа по ошибке дал своему партеру по бизнесу ваш телефон), злоумышленник спрашивает: а вот сейчас, когда позвонят и попросят "Васю", нельзя ли будет ему взять трубочку? Поскольку, с точки зрения охранника никакого криминала в этом нет, существует определенная вероятность того, что он исполнит эту просьбу (особенно, если злоумышленник - девушка привлекательной наружности). В результате, жертва будет считать, что злоумышленник действительно работает в этой фирме.

В качестве альтернативного варианта злоумышленник может попросить охранника сказать звонящему: "Перезвоните Васе по такому-то телефону". Если охранник не будет вдаваться в подробности, жертва опять-таки подумает, что, раз Васю знают, то он, несомненно, подлинный сотрудник этой фирмы. Конечно, охранник может запомнить внешность злоумышленника (и запомнит наверняка, если он профессионал), но внешность - это не паспортные данные и мошенника еще предстоит найти. К тому же, личная встреча с охранником абсолютно необязательна. Злоумышленник может позвонить по любому телефону и попросить его владельца сообщить звонящему по какому телефону можно найти Васю. Практика показывает, что люди (особенно занятые) редко вдаются в подробности и вместо того, чтобы сказать: "Ах, Вам Васю? А Вася здесь не работает! Он, знаете ли, наш телефон дал Вам по ошибке…" ограничиваются кратким: "Васю? Позвоните по такому-то телефону".. Поэтому, ни в коем случае не стоит считать телефон надежным средством идентификации личности.

о секретах социальной инженерии можно

Разговор о секретах социальной инженерии можно продолжать бесконечно, но это все равно не защитит вас от злоумышленников и мошенников всех мастей. Среди них нередко попадаются весьма талантливые люди, проворачивающие на редкость изощренные комбинации, перед которым снял бы шляпу и сам Остап Бендер. Поэтому, типовых противодействий социальным инженерам не существует и не может существовать! Каждая ситуация требует индивидуального подхода и всестороннего рассмотрения.
Единственная рекомендация - не допускайте бардака ни у себя дома, ни на работе. Расхлябанность, отсутствие дисциплины, халатность - вот главные дыры в системе безопасности, не компенсируемые ни какими, даже 1024-битными системами шифрования. Помните, что скупой платит дважды. Экономия на собственной безопасности до добра еще никого не доводила.

Юридические аспекты борьбы со спамом

Ольга Поликарпова

07.08.2003

Каждому пользователю Internet знакома ситуация, когда, открыв свой почтовый ящик, он обнаруживает там письма, которые содержат незапрашиваемую рекламную информацию и сомнительные «коммерческие предложения» законность и рассылка которых может квалифицироваться как мошенничество или вымогательство. Как же выглядит проблема спама с юридической точки зрения?

По данным www.antispam.ru, в российском сегменте Сети спам составляет около 50% всех сообщений. Трудно посчитать убытки от спамеров; одна только оплата трафика это уже немалые ресурсы. По данным компании MessageLabs, в конце 2002 года каждое восьмое письмо, полученное жителями Британии, содержало спам, а еще в январе таких писем было всего одно на 199. Судя же по тенденции, наблюдаемой в США, дальше будет еще хуже: здесь каждое третье письмо несет в себе непрошеную рекламу. По словам главного инженера MessageLabs Марка Саннера, методы, которыми спамеры обходят защитные фильтры, тоже постоянно совершенствуются: в частности, появился полиморфический спам, несколько меняющий форму, чтобы обманывать статические фильтры. Спам становится все более серьезной проблемой для предприятий: по оценке той же MessageLabs, 10% рабочего времени пользователи тратят на разбор спама. Кроме того, что спам снижает производительность труда, он создает все большую угрозу, распространяя вирусы или предложения мошенников.

Так что же такое спам? Согласно пункту 1.1 Норм пользования Сетью (www.ofisp.org), спам — это массовая рассылка сообщений посредством электронной почты и других средств персонального обмена информацией (включая службы немедленной доставки сообщений наподобие SMS, IRC и т.п.), совершенная без явно и недвусмысленно выраженной инициативы получателей. Спамер — лицо, занимающееся отправкой таких сообщений, независимо от того, делает ли он это в собственных интересах или в интересах других лиц.

Открытая публикация адреса электронной почты или другой системы персонального обмена информацией не может служить основанием для включения адреса в какой-либо список массовой рассылки сообщений.
Включение адреса, полученного любым путем (через Web-форму, через подписного робота и т.п.), в список, по которому проводится какая-либо рассылка, допускается только при условии наличия надлежащей технической процедуры подтверждения подписки, гарантирующей, что адрес не попадет в список иначе, как по воле владельца адреса. Процедура подтверждения подписки должна исключать возможность попадания адреса в список адресатов какой-либо рассылки (единичной или регулярной) по инициативе третьих лиц.

Обязательно наличие возможности для любого подписчика немедленно покинуть список рассылки без каких-либо затруднений при возникновении у него такого желания. При этом наличие возможности покинуть список само по себе не может служить оправданием внесения адресов в список не по воле владельцев адресов.

Общепринятыми нормами пользования Сетью запрещены:

отправка электронных писем и других сообщений, содержащих вложенные файлы и/или имеющих значительный объем, без предварительно полученного разрешения адресата; рассылка (иначе как по прямой инициативе получателя) электронных писем и других сообщений (в том числе единичных) рекламного, коммерческого или агитационного характера; писем и сообщений, содержащих грубые и оскорбительные выражения и предложения; в) рассылка сообщений, содержащих просьбу переслать данное сообщение другим доступным пользователям (chain letter); использование безличных ("ролевых") адресов иначе, как по их прямому назначению, установленному владельцем адресов и/или стандартами; рассылка информации получателям, ранее в явном виде выразившим нежелание получать эту информацию, информацию данной категории или информацию от данного отправителя; использование собственных или предоставленных информационных ресурсов (почтовых ящиков, адресов электронной почты, Web-страниц и т.д.) в качестве контактных координат при совершении любого из перечисленных действий, вне зависимости от того, из какой точки Сети были совершены эти действия; осуществление деятельности по техническому обеспечению рассылки спама, в том числе: целенаправленное сканирование содержимого информационных ресурсов с целью сбора адресов электронной почты и других служб доставки сообщений; распространение программного обеспечения для рассылки спама; создание, верификация, поддержание или распространение баз данных адресов электронной почты или других служб доставки сообщений (за исключением случая, когда владельцы всех адресов, включенных в такую базу данных, в явном виде выразили свое согласие на включение адресов в данную конкретную базу данных: открытая публикация адреса таковым согласием считаться не может).



Данные нормы могут быть приравнены к обычаям делового оборота, но в России пока не принято никаких законодательных актов, прямо запрещающих рассылку спама. Однако Российский комитет ЮНЕСКО в программе «Информация для всех» инициировал проект «АнтиСпам», в рамках которого подготовлен проект Федерального закона «О несанкционированной рассылке электронных сообщений» (www.ifap.ru). Данным законопроектом вводятся новые понятия: «несанкционированная рассылка» и «деятельность, способствующая несанкционированной рассылке». Согласно ст. 4 данного законопроекта рассылка электронного сообщения является несанкционированной, если:

лицу, производящему рассылку, или лицу, заказавшему рассылку, неизвестен владелец адреса, на который было послано сообщение; владелец адреса, на который было послано сообщение, известен и не выражал ранее желания получать от кого-либо сообщения подобного содержания; владелец адреса, на который было послано сообщение, известен и выражал ранее нежелание на получение сообщений от лица, производящего рассылку, или от лица, являющегося заказчиком рассылки; адрес, по которому было отправлено сообщение, получен лицом, производящим рассылку, или лицом, являющимся заказчиком рассылки, незаконно.

Согласно ст. 5 законопроекта деятельностью, способствующей проведению несанкционированной рассылки, является:

создание, хранение, распространение, продажа, покупка или применение программных или аппаратных средств, позволяющих собирать адреса без согласия их владельцев и не позволяющих при этом идентифицировать принадлежность собранных адресов; создание, хранение или применение программных или аппаратных средств, позволяющих обходить защиту от несанкционированной рассылки иначе, как в исследовательских целях; продажа, покупка или распространение программных или аппаратных средств, позволяющих обходить защиту от несанкционированной рассылки; распространение информации о способах несанкционированной рассылки или способах обхода ограничений на нее иначе как с целью ее предотвращения; непринятие достаточных мер безопасности провайдерами услуг связи, разработчиками программных или аппаратных средств, делающих возможным сбор адресов, обход ограничений на проведение несанкционированной рассылки или проведение ее; создание, хранение или распространение баз данных адресов, полученных с нарушением действующего законодательства; проверка наличия или функционирования адресов, полученных с нарушением действующего законодательства; обнародование или передача законным владельцем базы данных адресов третьим лицам, если на это не было предварительно получено согласие владельцев адресов, включенных в эту базу данных, или не предусмотрено действующим законодательством; реклама услуг по несанкционированной рассылке, услуг по обходу ограничений на нее или результатов деятельности, ей способствующей; подстрекательство к проведению несанкционированной рассылки или заказу на ее проведение; деятельность, неотъемлемой частью которой является несанкционированная рассылка; иные действия, способствующие проведению несанкционированной рассылки.



Законопроект предлагает на территории РФ ввести запрет как за несанкционированную рассылку, так и за деятельность ей способствующую и предлагает ввести за таковую административные наказания в виде штрафов от 3 до 15 МРОТ, а при квалифицированном составе правонарушения (неоднократности деяния) увеличивать размер наложенных санкций втрое. Несомненно, подобный закон необходим, однако, к сожалению, до его принятия еще очень далеко. Что же можно сделать уже сегодня?

Поскольку рассылка спама вызывает блокирование нужных писем, а при разблокировке приходится нести расходы на услуги связи для вынужденного получения ненужной рекламы, можно сказать, что действиями спамеров наносится прямой материальный ущерб. Согласно ч. 3 ст. 13 Федерального закона «О рекламе» при платном справочном телефонном, компьютерном и ином обслуживании реклама может предоставляться только с согласия абонента. Применяя аналогию закона в связи со сходством возникающих правоотношений, соответственно, можно считать действия по распространению незапрашиваемой коммерческой информации незаконными.

Своими действиями спамеры причиняют имущественный вред, который в соответствии п. 1 ст. 1064 ГК РФ они обязаны возместить в полном объеме. Кроме того, в случае с частным лицом, нарушается его личное неимущественное право на беспрепятственное получение информации, в том числе, по электронной почте (ст. 150 ГК РФ), нарушается право своевременно воспользоваться услугой электросвязи оплаченной лицом. Более того, если пользователь ждет важных и срочных сообщений, т. е. основания для предъявления претензий по компенсации морального вреда, который компенсируется в денежной форме (ст. 151, 1099 ГК РФ). Следовательно, уже сегодня есть основания для предъявления иска в суде как по возмещению имущественного вреда, так и морального вреда (для частных лиц).

Организация также имеет все основания предъявить к заблокировавшим ее почтовые ящики спамерам иск об упущенной выгоде, если будет доказано, что вследствие этого организация не получила важной и нужной информации, из-за чего, например, произошел срыв контракта.


Более того, совершенно не выходит за рамки закона такая ситуация, при которой работник такой организации — пользователь заблокированного корпоративного адреса электронной почты предъявит также спамеру иск о компенсации, например, морального вреда, причиненного ему лично.

В случае, если сведений для подачи искового заявления недостаточно (нет данных о полном наименовании организации, ФИО предпринимателя, юридическом адресе, собственниках имущества организации, их домашних адресов), могут быть предприняты меры по розыску и установлению необходимых сведений путем обращений в регистрационную палату, налоговую инспекцию Министерства по налогам и сборам РФ, органы милиции, либо специализированные коммерческие компании.

Розыск технически также можно осуществлять через провайдеров Сети, однако при этом следует иметь в виду, что провайдеры совершенно не обязаны предоставлять такого рода сведения. Напротив, они обязаны гарантировать соблюдение тайны связи; предоставлять кому-либо такого рода информацию им позволено только на основании решения суда.

Пока обсуждаются различные законодательные меры, многие пользователи обращаются к фильтрам, однако это иногда может лишать получателя легитимных писем. Производители соответствующего программного обеспечения вынуждены встраивать в свои продукты все более изощренные фильтры спама: анализ содержания писем, статистический и лингвистический методы анализа и т.д. При анализе содержания сканируются тексты писем на предмет наличия там определенных слов и словосочетаний, при лингвистическом анализе проверяется само тело письма, его структура, а не содержание. Известные методы борьбы со спамом фокусируются на отдельных аспектах, таких как блокирование сообщений, исходящих из определенного адреса или содержащих определенные слова в строке subject. Однако спамеры нашли множество обходных путей и сегодня борцы со спамом рассматривают возможность применения методов статистического анализа. Крупные архивы почтового «мусора» можно использовать для поиска свойств и особенностей спама, а затем применять эти данные для анализа входящей почты.


Такие методы фильтрации помогут справиться с ошибочной отбраковкой, которая приводит к тому, что спамом по ошибке признаются нормальные письма.

Однако при применении спам-фильтров возникает два вопроса. Первый: а не нарушаются ли права получателей спама при использовании спам-фильтров, так как при их применении происходят действия, которые также явно нарушают конституционные права граждан на личную и семейную тайну, тайну переписки, телефонных переговоров, почтовых телеграфных и иных сообщений? Второй: а не нарушат ли их применение провайдерами и пользователями, как корпоративными, так и частными, прав спамеров как отправителей почтовых сообщений, установленных п. 2 ст. 23 Конституции РФ: «Каждый имеет право на тайну переписки, телефонных переговоров, почтовых, телеграфных и иных сообщений. Ограничение этого права допускается только на основании судебного решения.», п. 1. ст. 24 Конституции РФ: «Сбор, хранение, использование и распространение информации о частной жизни лица без его согласия не допускаются», п.4, ст. 29 Конституции РФ: «Каждый имеет право свободно искать, получать, передавать, производить и распространять информацию любым законным способом».

При ответе на первый вопрос следует разделить две ситуации:

провайдер фильтрует на спам почту своих пользователей при получении; организация ставит сетевые фильтры для проверки на спам почты своих сотрудников.

При фильтрации почты пользователей провайдером следует обратиться к договору между провайдером и пользователем: если в этом договоре пользователь давал свое согласие на защиту от спама таким образом, значит, провайдер не нарушает его конституционных прав, если же такого пункта нет, значит, действия провайдера подпадают под ст. 138 УК РФ как прямое нарушение положений ст. 32 Закона «О связи».

В ситуации, когда организация ставит сетевые фильтры и просматривает почту своих сотрудников, между ней и работником должно существовать соглашение, посредством которого работника уведомляют и получают его согласие на фильтрацию почты.


Более того, корпоративные адреса электронной почты принадлежат организации, и работник должен четко представлять, что личную переписку следует вести по личному адресу электронной почты. Если же пользователь сам устанавливает фильтры, то, очевидно, что он сам принимает решение о фильтрации почты.

При ответе на второй вопрос следует учесть, что злоупотреблять правом на «поиск, получение, передачу, производство и распространение информации», равно как и правом на тайну переписки, телефонных переговоров, почтовых, телеграфных и иных сообщений нельзя. Конституция РФ, Гражданский и Уголовный Кодексы, Федеральный закон «О перечне сведений, составляющих государственную тайну» и другие законодательные акты вводят ограничения на его реализацию. Согласно российскому законодательству, ограничения начинают действовать, когда информация касается личной жизни граждан, безопасности государства, сведений, составляющих коммерческую тайну и т.д. Вводя некоторые ограничения на «поиск, получение, передачу, производство и распространение информации», государство соблюдает баланс интересов различных членов общества, что и является одной из важнейших задач правового государства.

Однако возникает вопрос, а не нарушается ли провайдерами, чьими пользователями являются спамеры, их (спамеров) право на тайну переписки, телефонных переговоров, почтовых телеграфных и иных сообщений, что подпадает под действие уголовного законодательства (ст. 138, УК РФ), а также право на неприкосновенность частной жизни (ст. 137 УК РФ)?

Составы преступлений из ст. 137 УК РФ образуются только в том случае, если лицо, которому принадлежит информация, не давало согласие на ознакомление с ней других лиц (в данном случае — провайдера). Если при заключении договора с провайдером, лицо приняло на себя обязательство не осуществлять действий, перечисленных в Общих нормах пользования сетью, и дало согласие на фильтрацию своих сообщений на предмет того, не являются ли они спамом, представляется, что здесь нет оснований для привлечения провайдера к ответственности.


Поэтому провайдерам настоятельно рекомендуется включать в свои договоры с пользователями соответствующие пункты. А вот легитимность публикации провайдерами адресов спамеров, являвшихся их пользователями, если это опять-таки не было предусмотрено в договоре между провайдером и пользователем и последний не выразил своего согласия с этим, находится под большим вопросом.

Что касается того, не являются ли спам-фильтры специальными техническими средствами несанкционированного сбора информации, то сегодня действующим законодательством к таким средствам относятся приборы, а насчет программных средств, наше законодательство умалчивает, следовательно, по мнению специалистов, пока их применение легитимно. А вот с фильтрацией почты, отправленной спамером, провайдером адресата на стадии ее получения либо другими провайдерами в процессе прохождения письма через их серверы ситуация не слишком прозрачна. C одной стороны, лица, которые используют чужие или вымышленные почтовые адреса и имена, уже сохранили свою конфиденциальность. Но как определить, вымышлена эта информация или нет? Кроме того лица, рассылающие корреспонденцию идентичного содержания множеству адресатов, не заботятся о тайне переписки, более того, лица, направляющие сообщения рекламного характера к соблюдению тайны явно не стремятся, так как это противоречит основному принципу рекламы — публичности, а наоборот, хотят, чтобы об их деятельности узнало как можно больше людей и организаций.

С другой стороны, ст. 32 Закона «О связи», гласит: «Все операторы связи обязаны обеспечить соблюдение тайны связи. Информация о почтовых отправлениях и передаваемых по сетям электрической связи сообщениях, а также сами эти отправления и сообщения могут выдаваться только отправителям и адресатам или их законным представителям. Прослушивание телефонных переговоров, ознакомление с сообщениями электросвязи, задержка, осмотр и выемка почтовых отправлений и документальной корреспонденции, получение сведений о них, а также иные ограничения тайны связи допускаются только на основании судебного решения...».


Электронное письмо проходит несколько стадий (создание, отправка, прохождение через ряд серверов). Получается, что фильтрация возможна только провайдером спамера при отправке и при наличии в пользовательском договоре соответствующих условий самим адресатом (юридическим или физическим лицом) при получении, так как направленное на его адреса письмо, совершенно очевидно, для адресата никакой тайны не содержит.

А вот применение фильтрации, независимо от ее способов, провайдерами, через серверы которых проходит письмо после его отправки и до момента получения его адресатом, в соответствии с действующим законодательством представляется нелегитимным, так как нарушает ст. 32 Закона «О связи» и подпадает под действие ст. 138 УК РФ.

Как выход можно предложить предусматривать в пользовательских договорах условия о том, что пользователь дает согласие на фильтрацию его почты в процессе отправки и получения не только самим провайдером, с чьего сервера происходит отправка, но и всеми остальными, через чьи серверы проходит письмо, пока не дойдет до адресата. Но в этой ситуации слишком неопределен круг лиц, которым пользователем дается право на фильтрацию своей почты, представляется, что такое условие все-таки нарушает конституционные права пользователей и может быть признано незаконным. Поэтому все точки над i расставит принятие соответствующих законов. В настоящий момент Президентом РФ подписан вступающий в действие с 2004 года новый Федеральный закон «О связи» с измененными формулировками норм, на основании которых производится ограничение прав на тайну переписки. Если в старом законе это право могло быть ограничено только решением суда, то новый закон дозволяет ограничивать это право федеральными законами. Представляется целесообразным до вступления в действие закона «О связи» принять такие важные и нужные законы, как «О несанкционированной рассылке электронных сообщений», «О конфиденциальной информации», «Об информации персонального характера» и т.д.

После вступления в силу нового закона «О связи» представляется вполне легитимным использование при фильтрации почты средств, не использующих анализ содержания писем, а применяющих лингвистический статистический анализ почтовых отправлений.

Тайна связи

Статья 63 нового Федерального закона «О связи»

На территории РФ гарантируется тайна переписки, телефонных переговоров, почтовых отправлений, телеграфных и иных сообщений, передаваемых по сетям электросвязи и сетям почтовой связи. Ограничение права на тайну переписки, телефонных переговоров, почтовых отправлений, телеграфных и иных сообщений, передаваемых по сетям электросвязи и сетям почтовой связи, допускается только в случаях, предусмотренных федеральными законами. Операторы связи обязаны обеспечить соблюдение тайны связи. Осмотр почтовых отправлений лицами, не являющимися уполномоченными работниками оператора связи, вскрытие почтовых отправлений, осмотр вложений, ознакомление с информацией и документальной корреспонденцией, передаваемыми по сетям электросвязи и сетям почтовой связи, осуществляются только на основании решения суда, за исключением случаев, установленных федеральными законами. Сведения о передаваемых по сетям электросвязи и сетям почтовой связи сообщениях, о почтовых отправлениях и почтовых переводах денежных средств, а также сами эти сообщения, почтовые отправления и переводимые денежные средства могут выдаваться только отправителям и получателям или их уполномоченным представителям, если иное не предусмотрено федеральными законами.

Проблема спама не надумана, как

Проблема спама не надумана, как считают некоторые наши законодатели: она ставится все острее, как, впрочем, и большинство проблем, связанных с правовым регулированием Сети. Основная причина всех нарушений в этой области — практически полное отсутствие законодательного регулирования как российского сегмента сети в частности, так и всей Internet. Следует либо не бояться применять к новым правоотношениям уже действующие нормы права, либо создавать новые, и чем скорее это произойдет, тем быстрее разрешатся наиболее насущные проблемы Internet-пространства, в том числе и проблема борьбы со спамом.
Ольга Поликарпова (o.polikarpova@undec.ru) — директор департамента правового консалтинга в области ИТ и защиты интеллектуальной собственности компании «Андэк» (Москва).

Антишпионы

Перечисленные ниже программные средства позволяют обнаружить, по крайней мере, некоторые коммерческие программы-сканеры.

Программа	Условия приобретения	Объем,Мб	Адрес
Lavasoft Ad-aware 6.181	Бесплатно для некоммерческого использования	1,7
PepiMK Spybot Search & Destroy 1.2	Бесплатно	3,5
PestPatrol Inc. PestPatrol 4.2	$40 (пробная версия с ограниченными функциями распознает сканеры, но не удаляет их)	6,1	Click!
Webroot Spy Sweeper 2.2	Бесплатная версия с одним обновлением, $30 за поддержку и обновления в течение одного года	2,5

Как защититься от программ-сканеров

Помимо вирусов и спама, на компьютер из интернета часто проникают так называемые программы-сканеры. Эти незваные гости располагаются на компьютере как дома и начинают следить за хозяевами

Мало кто еще не знает, что хранить на компьютере конфиденциальную информацию далеко не так безопасно, как в сейфе и даже просто в ящике стола, особенно если компьютер подключен к интернету. Но для того чтобы кто-то вмешался в ваши дела, подключение к интернету вовсе не обязательно. Конечно, создатели некоторых веб-сайтов следят за действиями пользователей и потом продают эту информацию специалистам по рекламе. Но кроме этого на компьютер через Сеть часто загружаются программы, которые шпионят за нашими действиями и докладывают о них своим неведомым хозяевам. Такие шпионские утилиты обычно устанавливаются на ПК вместе с бесплатными программами, обещающими - и выполняющими - что-то полезное. Но, как известно, бесплатный сыр бывает только в мышеловке.

Второй вид "шпионских" программ приходит к нам не из интернета, а от уважаемого начальства, которое желает знать, чем мы занимаемся в рабочее время. Такой вариант хуже тем, что не можете же вы запретить своему шефу следить за вами! Пользуются подобными штуками и ревнивые супруги, и бдительные родители…

Коммерческие сканеры клавиатуры, такие как , , , , следят за вашими действиями совершенно незаметно. Они отмечают не только каждую нажатую клавишу, но и каждое посещение веб-сайта, сообщение электронной почты или ICQ. Они делают копии экрана и пересылают их вместе с другими отчетами удаленному компьютеру - все это без вашего ведома. Все, что вы делаете на компьютере, записывается и передается неизвестному Алексу.

Снова о межсетевых экранах

Итак, "шпионские" программы приходят двумя путями: от людей - строгого начальства, ревнивой жены, бдительных родителей, смышленых деток - или из интернета. В первом случае, вероятно, лучше положиться на дипломатию: в конце концов, добрые отношения чаще оказываются важнее всего. Но во втором случае, очевидно, любопытству следует сказать решительное "нет!" и поставить ему заслон в виде аппаратных и программных межсетевых экранов.

Спам должен оставаться без ответа

Многие спамеры для подтверждения того, что их письма попадают к живым людям, пользуются письмами с требованием уведомления о получении. Со своей стороны, самая лучшая реакция получателя на спам - никакой реакции - как будто адрес этот он давно позабыл и почту не читает, а значит, и присылать ее бессмысленно.

Поэтому лучше отключить в почтовом клиенте функцию подтверждения получения сообщений, если по умолчанию она включена. Для этого в Outlook 2000 и 2003 выберите команду Tools > Options (Сервис > Параметры) перейдите на вкладку Preferences (Свойства), откройте раздел E-Mail Options > Tracking Options (Параметры почты > Параметры слежения), включите режим Never send a response и щелкните на кнопке OK. В Outlook Express выберите команду Tools > Options > Receipts (Сервис > Параметры > Подтверждение), включите режим Never send a read receipt и щелкните на кнопке OK. В Mozilla и Netscape Mail выберите команду Edit > Preferences (Правка > Параметры), откройте в окне Category (Категория) раздел Mail & Newsgroups > Return Receipts (Почта и новости > Отправка подтверждений), включите режим Never send a return receipt и щелкните на кнопке OK.

Выявление невидимок

Удивительно и печально, как много компаний живут людской подозрительностью. Еще печальнее то, что продукцию этих компаний - программы-наблюдатели - не так-то просто распознать и удалить. Многие подобные утилиты очень хорошо маскируются под "легальные" приложения и процессы. Существующие программные средства для борьбы с ними не всегда дают желаемый эффект. Ни одна из известных антишпионских программ, таких как 1Ad-aware, Spybot Search & Destroy, PestPatrol и Spy Sweeper, не распознает и не уничтожает все 100% "чужаков". Остается полагаться на логичное соображение: чем больше антишпионских утилит используется, тем выше шансы на успех. На компьютер, подключаемый к интернету, рекомендуется установить, как минимум, Ad-aware и Spybot; для большей гарантии можно установить PestPatrol и Spy Sweeper.

При подозрении, что на компьютер установлен сканер клавиатуры и мыши, можно попытаться вывести программу из "невидимого" режима и деинсталлировать ее. Большинство программ обнаруживают себя по комбинациям клавиш - например, для Spector Pro срабатывает <Ctrl+Alt+Shit+S>, а для XPCSpy - <Ctrl+Alt+X>. Даже если тот, кто установил шпионскую программу на ваш компьютер, изменил стандартную клавиатурную комбинацию на новую, немного терпения - и вы найдете ее. Только не забудьте предварительно закрыть все приложения, включая те, что работают в фоновом режиме и заметны только по пиктограммам в системной области панели задач, чтобы какая-нибудь комбинация не сработала в них и не наделала неприятностей.

Когда все программы будут закрыты, нажмите <Ctrl+Alt>, <Ctrl+Alt+Shift> или другую подобную комбинацию клавиш, и попробуйте добавить к ней обычные буквы, цифры и символы. Так, методом "проб и ошибок", можно обнаружить невидимого "чужака".

Есть и другие способы обнаружения скрытых программ. Один такой способ описан на сайте компании XSoftware, производителя шпионского ПО: для того чтобы вывести утилиту XPCSpy из невидимого режима, выберите команду Start > Run (Пуск >Выполнить), ввести в поле Open (Открыть) команду rx и щелкнуть на кнопке OK.

Если обнаружится, что в системе действует "шпион", вам, скорее всего, не удастся получить доступ к его настройке, так как большинство подобных программ защищены паролем. Зато вы, по крайней мере, будете знать, что какой-то Большой Брат пытается за вами следить. Конечно, вам мало понравится, что ваши действия записываются и еще меньше - что кто-то за вами подсматривает. Однако работодатель имеет право устанавливать системы слежения на принадлежащем ему оборудовании (см. также "Мониторинг программного обеспечения", К+П №10/2003). Поэтому заявление о том, что вам не нравится наличие такой программы на вашем рабочем компьютере, а тем более попытка ее отключить, может оказаться не в ваших интересах. Прежде чем что-либо предпринять, еще раз ознакомьтесь со своими правами и, в частности, с содержанием контракта, заключенного с работодателем. Если же компьютер принадлежит вам или члену вашей семьи, ситуация становится еще деликатнее…

В любом случае, отключение программы-сканера предупредит ее владельца о том, что вы все знаете. Если же вы попытаетесь избавиться от "шпионской штучки", но обнаружите, что она защищена паролем, не дающим запустить деинсталлятор, можно попытаться удалить файлы программы, если вы узнаете, как они называются и где находятся. Большой список клавиатурных сканеров, как коммерческих, так и бесплатных, представлен на сайте . Там же вы найдете инструкции по их удалению и отключению.

Если, перепробовав разные варианты, вам все же не удалось избавиться от сканера, остается последнее средство: сохранить все данные, отформатировать жесткий диск и заново установить операционную систему и приложения.

Для того чтобы помешать установке на компьютер нежелательных программ, лучше пользоваться операционными системами со строгой регистрацией, такими как Windows XP, Windows 2000 или Linux (протоколы регистрации Windows 98 и Me более свободны). Подберите для всех пользовательских учетных записей хорошие пароли - причем такие, какими никогда раньше не пользовались.

Рассмотрим более подробно конфигурацию MS

Рассмотрим более подробно конфигурацию MS SQL по умолчанию. В данной СУБД есть несколько служебных баз данных, создаваемых в процессе его установки (master, tempdb, model, msdb, pubs) и тестовая база данных (Northwind).

Наиболее важная из них - master. Она обеспечивает поддержку основных функций сервера, в ней хранятся все системные настройки сервера, учетные записи пользователей, роли, сведения о базах данных и - самое важное для нас - хранимые процедуры.

Хранимая процедура - это набор скомпилированных команд T-SQL, доступных напрямую SQL-серверу. Команды размещаются в хранимой процедуре и выполняются как одно целое или подпрограмма по аналогии с другими языками программирования. Хранимые процедуры находятся на сервере СУБД и используются, когда необходимо часто выполнять повторяющиеся в определенном порядке запросы к серверу MS SQL.

Расширенные хранимые процедуры - это разновидность обычных хранимых процедур, но в них можно использовать обращения к подпрограммам, написанным на языке С или С++, что позволяет расширить возможности T-SQL. Обычно расширеннные хранимые процедуры представляются в виде динамических библиотек. Имена этих процедур как правило начинаются с префикса xp (eXtended Procedure). Вместе с MS SQL поставляется большой набор расширенных хранимых процедур. Наиболее интересная из них - xp_cmdshell. Она предоставляет доступ к командной строке операционной системы. Так как данная хранимая процедура обладает широкими возможностями, то по умолчанию доступ к ней разрешен только владельцу базы данных master, то есть пользователю, наделенному ролью "Администратор базы данных".

Теперь рассмотрим способы аутентификации в MS SQL. Первый вариант - аутентификация средствами Windows, второй - аутентификация средствами самой СУБД (в том случае если при установке MS SQL был выбран смешанный режим аутентификации).

В первом варианте аутентификация пользователя проводится средствами операционной системы, и вход осуществляется с использованием учетных данных пользователя ОС Windows. Стоит отметить, что в этом случае при установке MS SQL всем пользователям операционной системы, входящим в группу "Администраторы", автоматически назначается роль "Администратор базы данных".

Во втором случае аутентификацию проводит СУБД, используя собственную базу учетных записей пользователей. При установке MS SQL будет создана учетная запись "sa" с ролью "Администратор базы данных".

Проникновение

Рассмотрим сценарий атаки на сервер с установленным MS SQL Server 2000. Потенциальному нарушителю необходимо получить доступ к MS SQL с ролью "Администратор базы данных", а это может легко произойти если:

пароль учетной записи "sa" пустой или может быть легко подобран, что часто встречается, когда СУБД используется в тестовой эксплуатации, либо как платформа для разработчиков; неправильно назначены роли пользователей в самой СУБД: учетная запись обычного пользователя СУБД обладает ролью "Владелец базы данных" master, либо ролью "Администратор базы данных". пароль некоторой учетной записи, входящей в группу "Администраторы", пустой или может быть легко подобран или определен (задача получения доступа к серверу, зная пароль администратора, на первый взгляд может показаться странной, но, например, если к серверу разрешено подключение только к портам MS SQL, описываемый в статье способ позволяет выполнять команды ОС).

Затем потенциальный нарушитель может выполнить расширенную хранимую процедуру xp_cmdshell, указав ей в качестве параметра команду операционной системы, создающую пользователя и включающую его в группу "Администраторы", чтобы получить полный доступ к серверу, на котором установлена СУБД.

Для этого необходимо запустить SQL Server Enterprise Manager, входящий в состав MS SQL Server (ссылка на данную оснастку находится в Пуск->Программы->Microsoft SQL Server). Далее в Enterprise Manager требуется создать новое поключение к SQL-серверу, и, после установления связи с сервером, создать новое представление (view) для базы данных master.

В появившемся окне, предназначенном для ввода SQL-запросов, можно ввести и выполнить следующие команды для создания нового пользователя операционной системы с правами администратора:

EXEC xp_cmdshell 'net user test_user test_passW0rd /add' - вызывает хранимую процедуру xp_cmdshell и передает ей в качестве параметра команду операционной системы, создающую в системе нового пользователя test_user с паролем test_passW0rd. EXEC xp_cmdshell 'net localgroup Administrators test_user /add' - данная команда добавляет пользователя test_user в локальную группу "Администраторы".

Вызов расширенной хранимой процедуры "xp_cmdshell".

На скриншотах представлены основные этапы осуществления атаки с использованием штатных средств ОС Windows и СУБД MS SQL. Если сервер, на котором установлена СУБД MS SQL, выполняет также и другие функции (контроллер домена, услуги корпоративной почты, хранение архива документов), потенциальный ущерб от проникновения на данный сервер при помощи атаки на MS SQL существенно увеличивается.

Рекомендации

Для устранения описанной уязвимости и снижения риска от проникновения нарушителя на сервер с установленной СУБД MS SQL рекомендуется:

Четко разграничить производственную и тестовую среду (среду разработки). Производственные сервера не должны содержать тестовых баз данных или инструментария разработчиков. Исключить возможность совмещения различных корпоративных сервисов на сервере с установленной СУБД MS SQL. Использовать сложные пароли для административных учетных записей как операционной системы, так и СУБД - не менее 15 символов, содержащих буквы в разных регистрах, цифры и специальные символамы. Удалить из пользователей MS SQL группу "Администраторы" операционной системы и четко прописать, какие учетные записи операционной системы имеют доступ к базам данных. Избегать предоставления доступа к расширенным хранимым процедурам для пользователей СУБД. Использовать привилегированные учетные записи СУБД только для выполнения административных задач. Запускать процесс MS SQL Server с правами учетной записи непривилегированного пользователя. Это серьезно усложнит проникновение в систему, так как потенциальный нарушитель в лучшем случае сможет выполнять команды только как пользователь с ограниченными привилегиями. Протоколировать системные события MS SQL Server, что позволит упростить процесс слежения за действиями потенциального нарушителя. Регулярно устанавливать обновления операционной системы Windows и СУБД MS SQL. Ограничить с помощью межсетевого экрана доступ к портам MS SQL для пользователей, не использующих этот сервис.

основа любой крупной информационной системы,

Сегодня базы данных - основа любой крупной информационной системы, хранящей и обрабатывающей разнообразные данные. Это системы электронного документооборота и бухгалтерского учета, биллинговые системы и системы управления контентом web-сайтов, системы управления технологическими процессами на производстве. Поскольку в базах данных хранится критичная для ведения бизнеса информация, то первоочередная задача администраторов баз данных - поддержание конфиденциальности, целостности и доступности этих данных. Помимо того, что в случае успешной атаки потенциальный нарушитель может получить доступ к хранимой в базе данных информации, существует возможность исполнения произвольных команд на сервере с привилегиями процесса СУБД, что в свою очередь, может привести к получению нарушителем полного доступа непосредственно к серверу, на котором установлена СУБД.
Цель данной статьи - обратить внимание администраторов баз данных и специалистов по информационной безопасности на данную проблему и показать один из вариантов реализации атаки на СУБД MS SQL, в результате которой потенциальный нарушитель получит доступ не только к хранимой в базе данных информации, но и полный контроль над сервером СУБД.

---

---