Что это такое – компрометация ключа электронной подписи. О задаче защиты закрытого ключа эцп от компрометации Угрозы компрометации ключей ЭЦП

Электронная цифровая подпись (ЭЦП) – это специальная криптографическая комбинация, которая позволяет удостовериться в подлинности документа и/или авторстве человека, подписывающего его, а также проверить дату последних изменений. А вот компрометация ключа электронной подписи – это отсутствие доверия к ЭЦП, подразумевая факт причастности к данным третьих лиц. Рассмотрим этот момент подробнее.

Понятие

Как таковое определение компрометации ключа электронной подписи в действующем российском законодательстве отсутствует. Однако под нею принято понимать потерю доверия к тому, что используемые ключи обеспечивают безопасность информации (см. например, разд. 2 Регламента регистрации и подключения юридических и физических лиц к системе электронного документооборота ПФР, утв. постановлением Правления ПФР от 26.01.2001 № 15).

Как ни странно, про компрометацию ключа электронной подписи Федеральный закон «Об электронной подписи» 2011 года № 63-ФЗ ничего не говорит.

Вместе с тем за компрометацию ключа электронной подписи по 63-ФЗ отвечает не только её владелец, но и удостоверяющий центр. На основании п. 4 ч. 2 ст. 13 он обязан обеспечивать конфиденциальность сгенерированных ключей ЭП.

Когда наступает компрометация ключа ЭЦП

Ситуации, при которых можно усомниться в действительности электронной подписи, следующие:

Ситуация	Пояснение
Утеря личного шифра, включая его последующую находку	Если есть хоть один шанс на то, что ключом могли воспользоваться третьи лица в период между потерей и находкой, то комбинация не может считаться конфиденциальной, компрометируя тем самым ЭЦП
Увольнение сотрудников, у которых есть доступ к шифру	Причина увольнения в таком случае не играет роли, поскольку если работник больше не числится в штате, то теоретически он может воспользоваться имеющимися данными по своему усмотрению
Подозрение на утечку информации	Это объясняется несанкционированными изменениями в документе, которые владелец электронной подписи не проводил
При хранении ключа в сейфе	Нарушенная целостность печати на нём или потеря доступа к сейфу автоматически приводит к компрометации шифра ЭЦП
Разрушение ключа	С подозрением на то, что им могли воспользоваться третьи лица до этого момента
Иные ситуации	Когда ключом могли воспользоваться злоумышленники

Любой стойкий шифр обеспечивает надежную защиту только до тех пор. пока ключ к нему хранится в тайне. Если Иванов потеряет этот ключ, если у него этот ключ украдут, если этот ключ зачитает диктор в вечернем выпуске телевизионных новостей или этот ключ будет скомпрометирован каким-либо другим образом, обеспечиваемая им защита будет сведена на нет.

Скомпрометированный ключ к симметричному алгоритму шифрования необходимо побыстрее сменить. После этого остается только надеяться, что противник успел узнать из прочитанной шифр-переписки не слишком много интересного для себя. С открытыми ключами, которые используются не только для шифрования данных, но и для аутентификации и цифровой подписи документов, дело обстоит сложнее.

Поэтому так важно, чтобы о компрометации открытого ключа все заинтересованные стороны узнали как можно скорее. Если все сообщения Иванова аккуратно снабжены датой, это поможет значительно уменьшить вероятность потенциального ущерба, поскольку тогда их получатели окажутся в состоянии отобрать и проверить те из них, которые могли быть сфальсифицированы.

Если Иванов не знает, когда именно был скомпрометирован его ключ, остается только посоветовать ему аккуратнее обращаться со своими ключами и использовать для разных целей различные ключи. Ведь входные двери в его офис и в его квартиру вряд ли открываются одним и тем же ключом.

Постепенно становится массовым. По последним сведениям, количество валидных (действительных) сертификатов ЭЦП в России к настоящему времени превышает 200 тыс., а удостоверяющих центров - более 300. Особенно активно эти процессы идут в корпоративном сегменте экономики и ведомствах (таможенном, налоговом, транспортном и др.). Несмотря на то, что тема ЭЦП достаточно широко обсуждается, далеко не все потенциальные пользователи понимают, что такое ЭЦП, как происходит процесс формирования сертификата подписи, как и зачем ее применять. Тем более, мало кто знает, что такое компрометация ключа цифровой подписи и как снизить риски компрометации. Рассмотрению данного вопроса и посвящена данная статья.

Проблема защиты ключевого материала от компрометации

Рассмотрим сферы реального применения ЭЦП:

● системы декларирования товаров и услуг (таможенные декларации);

● системы: регистрации сделок по объектам, недвижимости и земле;

● банковские системы («Интернет-банкинг» и «Клиент-банк»);

● системы электронных госзаказов и электронной торговли (e-commerce);

● системы контроля исполнения государственного бюджета;

● системы обращения к органам власти (e-government);

● обязательная отчетность (в частности, интенсивно развивающаяся безбумажная отчетность перед органами ФНС, ПФРФ, ФССР, Госкомстата);

● различные расчетные и трейдинговые системы;

● системы электронного документооборота и др.

Даже поверхностный анализ показывает, что возможность использования злоумышленником ЭЦП легального пользователя перечисленных систем может привести к ощутимым финансовым, потерям. Представьте, если: кто-то вместо вас отправит подписанный якобы вами финансовый документ и, например, снимет с вашего расчетного счета несколько миллионов долларов... Естественно, вам захочется как можно быстрее найти виновного и: вернуть деньги. Вы обратитесь в финансовый институт (например, банк) и попытаетесь найти виновного там. Вам в письменном виде ответят, что информационная система банка построена в соответствии с существующими нормативно-правовыми документами, сеть аттестована по соответствующему классу, а для формирования и проверки подписи используются только сертифицированные средства ЭЦП. И еще вам докажут, что при получении ключевого материала вам были предложены: альтернативные носители, из которых вы: выбрали самый дешевый. Например, дискету... А потом напомнят, что согласно статье 12 «Закона об ЭЦП» , хранение закрытого ключа электронной цифровой подписи входит в обязанности владельца. Круг замкнулся. Во всем, виноваты вы сами. Но все ли вы знали и предупреждали ли вас о возможности компрометации ключа до того, как произошла, материальная потеря? Впрочем, обо всем по порядку. Для начала рассмотрим, какие виды подписи бывают, затем, как генерируется ваша электронно-цифровая подпись .

Виды ЭЦП в Европе и России

Достаточно интересным в данном случае будет обращение к международному опыту. Чтобы понять некоторые тонкости видов подписи и способов их формирования, необходимо проанализировать подход к классификации электронных подписей в мире и у нас. Так уж исторически сложилось, что нам пришлось догонять многие страны по развитию ЭЦП как в части законов, технологий и т. д., так и в части, понимания и правильного восприятия.

Начнем с Европы. Согласно Директиве ЕС по применению электронной подписи (1999 г.) и последующим, соглашениям между странами-участницами, к настоящему времени четко описаны виды ЭЦП и механизмы ее формирования и проверки. В частности, в документе указаны три типа подписи:

● Электронная подпись (Electronic Signature). В определение данного вида подписи включено понятие логической связи этой подписи с тем, кто пользуется данной подписью, возможности ее идентификации, контроля подписывающего за ее использованием, а также отслеживания изменения в подписанных ранее данных.

● Улучшенная электронная подпись (Advanced Electronic Signature). Таковой считается электронная подпись с более жесткими требованиями. Первым требованием является уникальная связь с тем, кто пользуется данной подписью. Для этого рекомендуется использовать сертификат Х.509 в двух видах: квалифицированный сертификат, выпущенный доверенной третьей стороной (например, Удостоверяющим центром), или неквалифицированный сертификат, который может быть выпущен как доверенной третьей стороной, так и самим подписывающим. Второе требование - возможность идентификации подписывающего (того, кто пользуется данной подписью) по его электронной подписи. Другими словами, сертификат должен содержать персональные данные о владельце подписи, позволяющие его идентифицировать. Третье требование подразумевает, что подпись должна формироваться под жестким контролем ее будущего владельца. Например, если подпись формируется внутри устройства (Signature Creation Device), содержащего данные для выпуска ЭЦП, то ее владелец должен наблюдать за процессом формирования его подписи и использования устройства. И, наконец, четвертым требованием является использование хэш-функций, алгоритма подписи и длины ключей с параметрами, необходимыми для обеспечения должного уровня защиты от атак.

● Квалифицированная электронная подпись (Qualified Electronic Signature). В понятие квалифицированной подписи входит применение улучшенной (Advanced Electronic Signature) подписи при использовании квалифицированного сертификата подписи и одновременном применении SSCD(Secure Signature Creation Device) - устройства для безопасного формирования ключевого материала подписи, к которому предъявлены следующие требования:

1) должны быть обеспечены уникальность и секретность ключа;

2) сама ЭЦП должна быть защищена от подделки с использованием доступной на сегодняшний день технологии;

3) закрытый ключ, используемый для создания подписи законным владельцем, должен быть надежно защищен от использования другими лицами.

Квалифицированный сертификат должен быть валидным в момент подписи и однозначно идентифицировать лицо, воспользовавшееся данным видом подписи. Ключевая пара должна генерироваться при личном участии будущего владельца внутри защищенной памяти SSCD (токена, смарт-карты), закрытый ключ не должен иметь технических возможностей экспортирования (копирования) закрытого ключа.

Таким образом, владелец подписи полностью контролирует жизненный цикл закрытого ключа подписи, и сам отвечает за его сохранность. В данном случае электронная подпись, согласно стандартам ЕС, полностью приравнена к собственноручной.

Заметим, что ФЗ-1 однозначно трактует электронно-цифровую подпись как квалифицированную, поскольку в статье 1 Закона сказано: «Целью настоящего Федерального закона является обеспечение правовых условий использования электронной цифровой подписи в электронных документах, при соблюдении которых электронная цифровая подпись в электронном документе признается равнозначной собственноручной подписи в документе на бумажном носителе». Давайте посмотрим, во что на практике выливается отличие российской ЭЦП от квалифицированной по требованиям ЕС.

Генерация ключей ЭЦП

Итак, в силу сложившихся обстоятельств вы решили, что вам нужна ЭЦП. Вы приходите в удостоверяющий центр и подписываете договор на приобретение сертификата ЭЦП и его годового обслуживания. Для формирования вашего сертификата ключа ЭЦП необходим только ваш открытый ключ. Если такового у вас не имеется, при вас генерируется ключевая пара. Закрытый (секретный) ключ и ключ вашей ЭЦП в электронном виде передается вам на носителе. Носителем может быть дискета, смарт-карта или USВ-ключ. В вашем присутствии сотрудник удостоверяющего центра обязан после передачи вам закрытого ключа удалить его из компьютера, если, конечно, вы не подписали договор о депонировании и ответственном хранении закрытого ключа в защищенном хранилище удостоверяющего центра. По определению закрытый ключ всегда хранится у пользователя, на основе открытого ключа формируется сертификат ключа ЭЦП, подписанный выдавшим его удостоверяющим центром. В последнее время «продвинутые» пользователи для получения сертификата ключа ЭЦП все чаще высылают в удостоверяющий центр свой открытый ключ по электронной почте.

Основная проблема при этом заключается в том, что для подавляющего числа российских пользователей ЭЦП процесс формирования ключевой пары и условий хранения закрытого ключа в данное время никак не регламентирован. Соответствующие регламенты пишутся только на корпоративном уровне на основе ведомственных концепций информационной безопасности и принятых на предприятии политик безопасности.

Угрозы компрометации ключей ЭЦП

Перечислим основные уязвимости:

● использование слабых паролей для защиты ключевой информации;

● хранение ключей на жестких дисках ПК владельца;

● хранение ключей на ненадежных (в физическом плане) носителях (дискетах);

● передача ключевого носителя сторонним пользователям.

Конечно, все зависит от состояния информационной системы вашего предприятия и/или вашего компьютера, если вы работаете дома. Все вероятные угрозы перечислить невозможно. Главный принцип защиты ключевого материала - он не должен попасть в чужие руки. Проще говоря, одно из основных условий гарантированного сохранения закрытого ключа в тайне (в соответствии с ФЗ) - сведение к минимуму риска (в идеале - исключение возможности) потери ключа, доступа к нему посторонних лиц и надежная защита ключа от копирования.

С другой стороны, очень важным аспектом является сокращение рисков не только возможности подделки, но и потери такого понятия, как неотказуемость автора электронной подписи от совершенных им сделок в электронном виде. Собственно, для исключения такой возможности должна быть оформлена жесткая связь владельца сертификата ключей подписи. Гораздо проще сформировать такую связь, если владельцу присваивается не только его личный сертификат, но и уникальный носитель закрытого ключа, никогда не покидающего защищенной памяти носителя. Однако для этого требуется реализация всех необходимых криптографических операций внутри носителя (токена, смарт-карты).

Правила хранения секретного ключа

Законодательно за хранение отвечает сам пользователь. Однако наша задача - рассказать о том, какие технические способы хранения существуют. Правила хранения ключа определяются востребованностью ЭЦП. Если ее приходится применять несколько раз в день, то все рабочие процессы должны быть технологичны и удобны. Идеально, если функции носителя ключевой информации и персонального идентификатора для доступа в помещения офиса, к компьютеру, корпоративной сети и защищенным ресурсам совмещены в едином устройстве. Такие устройства существуют и успешно используются. В качестве примера можно назвать сертифицированный ФСТЭК России USВ-ключ eToken PRO. Доступ к информации, хранящейся в персональных идентификаторах такого класса, защищен РIN-кодом, параметры которого отвечают самым серьезным требованиям корпоративных политик безопасности по количеству символов, возможности противостояния атакам по подбору и т. д. Однако основное преимущество подобных устройств для коммерческих предприятий состоит в том, что ключевая пара может быть сформирована самим пользователем, причем закрытый ключ, генерируемый микропроцессором устройства, никогда не покидает защищенного раздела памяти персонального идентификатора. На практике (кстати говоря, как и в Европе) в защищенной памяти персонального идентификатора хранится не один, а два закрытых ключа: один для аутентификации, второй - для применения ЭЦП. Причем в качестве первого в негосударственных (коммерческих) организациях чаще всего используется ключевой материал, полученный с применением международных алгоритмов (чаще всего RSA), второй - строго с применением сертифицированных реализаций ГОСТ. В идеале в защищенной памяти смарт-карты (токена) должны храниться несколько закрытых ключей (а при необходимости и соответствующих им сертификатов) для выполнения различных задач: доступа к корпоративной сети, защищенным данным, защищенному документообороту, различным платежным системам...

Заключение

ФЦП «Электронная Россия» набирает темпы развития и по охвату территории, и по наличию федеральных и территориальных прикладных информационных систем. Применение ненадежных носителей класса дискет или микроконтроллерных (не микропроцессорных) смарт-карт для хранения ключевой информации ЭЦП необходимо свести к нулю, учитывая высокий уровень рисков компрометации закрытого ключа. Реализация таких рисков, пусть даже в ограниченном объеме, может привести к утрате доверия как к информационным системам, применяющих ЭЦП, так и к самой идее замены собственноручной подписи ее электронным аналогом.

Итак, задача перед производителями персональных идентификаторов поставлена: необходимо устройство, которое генерирует ключи ЭЦП и не выпускает закрытый ключ наружу ни при каких обстоятельствах. Кто быстрее выполнит данную задачу для развития инфраструктуры открытых ключей и массового применения ЭЦП? Ответ на этот вопрос даст время.

Тема защиты закрытого ключа ЭЦП на конференции в Ташкенте В мае 2006 г. в г. Ташкенте состоялась Международная научно-практическая конференция «Актуальные проблемы использования электронно-цифровой подписи», на которой тема защиты закрытого ключа ЭЦП была одной из основных. Так, в докладе эксперта Еврокомиссии по информационной безопасности Жоса Дюмартье в качестве надежного способа защиты закрытого ключа ЭЦП от компрометации рекомендовалось использование интеллектуальной смарт-карты как средства генерации и хранения ключа. В странах Европы в защищенной памяти смарт-карты, как правило, хранится не менее двух закрытых ключей - один используется для аутентификации пользователя при доступе к информационным ресурсам, второй - для подписи электронных документов. По опыту работы одного из крупнейших в Польше удостоверяющего центра Unizeto (поддерживающего в настоящее время более 400 тыс. сертификатов ЭЦП), представленного Анджеем Бендиг-Веловейским, для формирования ключевой пары квалифицированной подписи используется чиповая смарт-карта. Смарт-карты и USВ-ключи для формирования ключей ЭЦП по международным стандартам уже не надо создавать, они успешно выполняют свою задачу. Как показала конференция, разработка устройств, поддерживающих российские криптоалгоритмы выработки и проверки ключевого материала, - задача не простая. Тем не менее, без ее успешного решения вряд ли стоит ожидать существенного расширения пространства доверия и массового применения ЭЦП. Мнение специалиста Дмитрий Горелов, коммерческий директор компании «Актив» На сегодняшний день абсолютно все российские сертифицированные средства криптографической защиты информации (СКЗИ) в момент подписи извлекают секретный ключ из защищенного хранилища, и криптопреобразования осуществляются в оперативной памяти компьютера. Устройства, предназначенные для безопасного хранения ключей, независимо от их стоимости и возможностей, спокойно дадут прочитать секретный ключ, если предъявлен правильный РIN-код (пароль). Конечно, смарт-карты и USВ-токены значительно безопаснее дискет, с этим никто не спорит. Но если в устройстве есть аппаратная реализация RSA а хранятся ключи для ГОСТ Р 34.10-2001, то ничего кроме более высокой цены пользователь не получит. Если говорить об ЭЦП, основанной на российских алгоритмах ГОСТ Р 34.11-94, ГОСТ Р 34.10-94 и ГОСТ Р 34.10-2001, то появление «квалифицированной электронной подписи» - вопрос времени. Ни один специалист по информационной безопасности не будет спорить, что генерация ключевой пары внутри доверенного устройства - лучший вариант. Закрытый ключ никогда не покидает устройства, не может быть извлечен известными изданный момент тех. средствами и т.д. Что для этого нужно? Во-первых, должны появиться доступные по цене смарт-карты и/или USВ-токены с аппаратной поддержкой российских алгоритмов формирования ЭЦП, а, во-вторых, российские СКЗИ должны включать поддержку данных устройств. Мнение специалиста Валерий Конявский, доктор технических наук, действительный член РАЕН, АЭН, Европейской Академии естественных наук, директор Всероссийского научно-исследовательского института проблем вычислительной техники и информатизации (ВНИИПВТИ), член научного совета при Совете Безопасности РФ, заведующий кафедрой защиты информации МФТИ, заместитель Председателя Совета главных конструкторов информатизации регионов Российской Федерации Чтобы убедить потенциального потребителя в необходимости сохранять в тайне закрытый ключ ЭЦП, действительно нужно популяризировать профессиональные знания. И здесь, как и всегда при взаимодействии с человеком, важнейшим становится правило: «Не навреди». Сегодня дискуссия по вопросу законодательного регулирования применения ЭЦП как раз проходит через плоскость - надо ли нам вводить все виды ЭЦП, предусмотренные Директивой ЕС, или достаточно использовать ЭЦП, определенную нашими нормативными документами. Наше изучение международного опыта подтверждает - догонять нужно не нам, а догонять нужно нас. Действительно, развитие системы PKI в мире происходило «снизу вверх», т. е. от потребностей бизнеса к государственному регулированию. Как результат - «зоопарк» различных видов ЭЦП, привести которые «к общему знаменателю» практически невозможно. При этом все же в государственной практике применяется только «квалифицированная» подпись. У нас же применение ЭЦП было инициировано государством, и поэтому «зоопарка» удалось избежать. Система удостоверяющих центров развивается медленнее, но правильнее, и уже сегодня многие европейские страны выразили желание освоить наш опыт. Стоит ли при этом возобновлять дискуссию о применении различных видов слабых ЭЦП, слабых до такой степени, что необходимых функций не выполняют? А вот создание мобильных средств генерации и хранения ключей - действительно важная задача. Уже понятно, что они будут массово использоваться в двух видах: в виде USВ-устройств и в виде смарт-карт. В частности, как средство технической поддержки национальной идентификационной системы, по нашему мнению, будет использоваться унифицированная социальная карта, в которой будет предусмотрено выполнение этих функций. Появились на рынке и первые USВ-устройства данного класса. Мнение специалиста Глеб Лукин, к.ф. - м.н., генеральный директор компании ЛЕТОГРАФ Применение ЭЦП в системах электронного документооборота и автоматизации бизнес-процессов становится все более востребованным в деятельности как коммерческих, так и государственных структур. Дополнительный эффект удается получить за счет возможности применения ЭЦП не только к контенту (электронному файлу), но и к атрибутивной части соответствующих карточек документов. Такой подход позволяет не только удостоверить собственно контент, но и обеспечить возможность последующей верификации значений различных значимых атрибутов соответствующих карточек документов. Современные технические средства защиты ключей от компрометации позволяют использовать соответствующие механизмы в автоматизированных системах и предлагать заказчику эффективные решения задач как автоматизации основных управленческих бизнес-процессов, так и верификации действий пользователя в соответствии с маршрутом движения и этапами обработки информации.

Компрометация ключей -- понятие, которое включает в себя факт доступа посторонних лиц к секретным ключам, а также возможность такого доступа или подозрение на него. Скомпрометированный секретный ключ -- главная опасность для любой системы защиты информации, поэтому принимаются специальные меры для защиты секретных ключей: их никогда не записывают на жесткий диск компьютера, их держат на отдельных носителях, их зашифровывают, их защищают на пароле и т.д. Тем не менее, случаи компрометации возможны.

В случае компрометации секретный ключ и парный к нему открытый вносятся в специальные списки, содержащие скомпрометированные ключи. Такие списки в разных криптографических продуктах также могут называться по-разному -- стоп-листы, списки отзыва сертификатов и т.д. Действие скомпрометированных ключей прекращается. Подпись, выработанная на скомпрометированном ключе, автоматически считается некорректной; информацию из документа, зашифрованного на скомпрометированном ключе, нельзя считать секретной.

Владелец скомпрометированных ключей создает для себя новые ключи.

Разработкой методов преобразования (шифрования) информации с целью ее защиты от незаконных пользователей занимается криптография. Такие методы и способы преобразования информации называются шифрами.

Шифрование (зашифрование) Ї процесс применения шифра к защищаемой информации, т.е. преобразование защищаемой информации (открытого текста) в шифрованное сообщение (шифртекст, криптограмму) с помощью определенных правил, содержащихся в шифре.Дешифрование Ї процесс, обратный шифрованию, т.е. преобразование шифрованного сообщения в защищаемую информацию с помощью определенных правил, содержащихся в шифре (на основе ключа шифрованный текст преобразуется в исходный).

Под ключом в криптографии понимают сменный элемент шифра, который применяется для шифрования конкретного сообщения. Например, ключом может быть величина сдвига букв шифртекста относительно букв открытого текста.

Вскрытие (взламывание) шифра Ї процесс получения защищаемой информации из шифрованного сообщения без знания примененного шифра.

Способность шифра противостоять всевозможным атакам на него называют стойкостью шифра.

Под атакой на шифр понимают попытку вскрытия этого шифра.

Криптоанализ Ї наука (и практика ее применения) о методах и способах вскрытия шифров.

Шифр замены осуществляет преобразование замены букв или других «частей» открытого текста на аналогичные «части» шифрованного текста.

Алфавит - конечное множество используемых для кодирования информации знаков.

Текст - упорядоченный набор из элементов алфавита.

Ключ - информация, необходимая для беспрепятственного шифрования и дешифрования тек­стов.

Криптографическая система представляет собой семейство T преобразований открытого текста. Члены этого семейства индексируются, или обозначаются символом k; параметр k являет­ся ключом. Пространство ключей K - это набор возможных значений ключа. Обычно ключ представляет собой последовательный ряд букв алфавита.

Криптосистемы разделяются на симметричные и с открытым ключом.

В симметричных криптосистемах и для шифрования, и для дешифрования используется один и тот же ключ.

Моно- и многоалфавитные подстановки Ї это вид преобразований, заключающийся в за­мене символов исходного текста на другие (того же алфавита) по более или менее сложному правилу. Для обеспечения высокой криптостойкости требуется использование больших ключей. Многоалфавитная подстановка определяется ключом p=(p1, p2, …), содержащим не менее двух различных подстановок.

Гаммирование заключается в наложении на исходный текст некоторой псевдослучайной по­следовательности, генерируемой на основе ключа.

Наложение Ї это обычно позначное (побуквенное) сложение или вычитание по тому или иному модулю.

Шифрмашина (шифровальное устройство) Ї машина, реализующая какой-либо алгоритм шифрования

Криптография является методологической основой современных систем обеспечения безопасности информации в компьютерных системах и сетях. Исторически криптография (в переводе с греческого этот термин означает «тайнопись») зародилась как способ скрытой передачи сообщений. Криптография представляет собой совокупность методов преобразования данных, направленных на то, чтобы защитить эти данные, сделав их бесполезными для незаконных пользователей. Такие преобразования обеспечивают решение трех главных проблем защиты данных: обеспечение конфиденциальности, целостности и подлинности передаваемых или сохраняемых данных.

Для обеспечения безопасности данных необходимо поддерживать три основные функции:

* защиту конфиденциальности передаваемых или хранимых в памяти данных;

* подтверждение целостности и подлинности данных;

* аутентификацию абонентов при входе в систему и при установлении соединения;

Для реализации указанных функций используются криптографические технологии шифрования, цифровой подписи и аутентификации.

Конфиденциальность обеспечивается с помощью алгоритмов и методов симметричного и асимметричного шифрования, а также путем взаимной аутентификации абонентов на основе многоразовых и одноразовых паролей, цифровых сертификатов, смарт-карт и т. п.

Целостность и подлинность передаваемых данных обычно достигается с помощью различных вариантов технологии электронной подписи, основанных на односторонних функциях и асимметричных методах шифрования.

Аутентификация разрешает устанавливать соединения только между легальными пользователями и предотвращает доступ к средствам сети нежелательных лиц. Абонентам, доказавшим свою легальность (аутентичность), предоставляются разрешенные виды сетевого обслуживания.

Обеспечение конфиденциальности, целостности и подлинности передаваемых и сохраняемых данных осуществляется прежде всего правильным использованием криптографических способов и средств защиты информации. Основой большинства криптографических средств защиты информации является шифрование данных.

Под шифром понимают совокупность процедур и правил криптографических преобразований, используемых для зашиф-ровывания и расшифровывания информации по ключу шифрования. Под зашифровыванием информации понимается процесс преобразования открытой информации (исходный текст) в зашифрованный текст (шифртекст). Процесс восстановления исходного текста по криптограмме с использованием ключа шифрования называют расшифровыванием (дешифрованием).

Обобщенная схема криптосистемы шифрования показана на рис. 5.1. Исходный текст передаваемого сообщения (или хранимой информации) М зашифровывается с помощью криптографического преобразования Ек с получением в результате шифр-текста С:

где -- параметр функции Е, называемый ключом шифрования.

Шифр текст С, называемый также криптограммой, содержит исходную информацию М в полном объеме, однако последовательность знаков в нем внешне представляется случайной и не позволяет восстановить исходную информацию без знания ключа шифрования кх.

Ключ шифрования является тем элементом, с помощью которого можно варьировать результат криптографического преобразования. Данный элемент может принадлежать конкретному пользователю или группе пользователей и являться для них уникальным. Зашифрованная с использованием конкретного ключа информация может быть расшифрована только его владельцем (или владельцами).

Обратное преобразование информации выглядит следующим образом:

Функция D является обратной к функции Е и производит расшифровывание шифр текста. Она также имеет дополнительный параметр в виде ключа к2. Ключ расшифровывания к2 должен однозначно соответствовать ключу к1 в этом случае полученное в результате расшифровывания сообщение М" будет эквивалентно М. При отсутствии верного ключа к2 получить исходное сообщение М" = Мс помощью функции D невозможно.

Преобразование шифрования может быть симметричным или асимметричным относительно преобразования расшифровывания. Соответственно различают два класса криптосистем:

* симметричные криптосистемы (с единым ключом);

* асимметричные криптосистемы (с двумя ключами).

Очень часто через известную всем сеть Internet передается достаточно важная конфиденциальная информация. Потеря, подделка такой информации или несанкционированный доступ к ней может привести к самым серьезным последствиям; Популярный рекламный слоган «Интернет доступен всем» говорит о многом, и, к сожалению, не только о хорошем. Ясно, что доступность этого ресурса именно всем й влечет за собой определенную опасность для всех. Действительно, открытость и прозрачность устройства сети является одним из необходимых условий ее роста и распространения. Однако глобальная сеть объединяет в настоящее время людей с самыми разными интересами и наклонностями. Пользователями сети являются не только люди с кристально чистыми намерениями, но и те, кто использует информацию в корыстных целях, т. е. лица, которые хотят и, главное, могут это сделать, используя достаточно много существующих точек в сети, где информация может быть перехвачена или сфальсифицирована.

Мы живем в эпоху господства информационных технологий, когда обладание информацией является определяющей силой. И эта информация нуждается сегодня в серьезной защите.

Проблемой защиты информации путем ее преобразования занимается криптология (kryptos - тайный, logos - сообщение). Она имеет два направления: криптографию и криптоанализ. Цели этих направлений прямо противоположны.

Криптография занимается поиском, исследованием и разработкой математических методов преобразования информации, основой которых является шифрование.

Сфера интересов криптоанализа -- исследование возможности расшифровки информации.

Для людей, не занимающихся вплотную проблемами информационной безопасности, криптография кажется сложным и непонятным делом, связанным с шифрами, кодами и секретными сообщениями. Действительно, ее практическая реализация требует достаточно серьезных знаний. Используя более общее определение, можно сказать, что криптография - это наука об обеспечении безопасности данных. В основе криптографической защиты информации лежит ее шифрование, проще говоря, преобразование данных к такому виду, что они становятся нечитабельными для тех, для кого не предназначены. Чтобы обеспечить нечитабельность для одних и доступность информации для других, необходимо соблюдать 4 основные правила обеспечения безопасности:

конфиденциальность;

аутентификацию;

целостность;

контроль участников взаимодействия.

С конфиденциальностью и аутентификацией все ясно: не зная ключа, сообщение прочитать весьма затруднительно. То есть, управляя раздачей ключей, вы управляете и доступом к информации.

Для контроля целостности используется построение так называемого дайджеста сообщения или электронной подписи. При построении этой подписи используется специальная функция, схожая с известной функцией CRC (Control Cyclic Code). Результаты работы этой функции шифруются. Получателю остается только выполнить эту функцию для принятого сообщения и сравнить результат с расшифрованным. Современная криптография изучает и развивает 4 основные направления:

симметричные криптосистемы (с секретным ключом); несимметричные криптосистемы (с открытым ключом);

системы электронной подписи;

системы управления ключами.

Расширение практического применения криптографии в сетях, а также появление современных криптографических методов привело к необходимости введения понятий, определений и собственного математического аппарата в этой области.

Термин «криптография» далеко ушел от своего первоначального значения -- «тайнопись, тайное письмо». Сегодня эта дисциплина объединяет методы защиты информационных взаимодействий совершенно различного характера, опирающихся на преобразование данных по секретным алгоритмам, включая и алгоритмы, использующие секретные параметры.

Основные направления использования криптографических методов -- это передача конфиденциальной информации по каналам связи (например, электронная почта), установление подлинности передаваемых сообщений, хранение информации (документов, баз данных) на носителях в зашифрованном виде.

Современные криптографические системы обеспечивают высокую стойкость зашифрованных данных за счет поддержания режима секретности криптографического ключа. Однако на практике любой шифр, используемый в той или другой криптосистеме, поддается раскрытию с определенной трудоемкостью. В связи с этим возникает необходимость оценки криптостойкости применяемых шифров в алгоритмах криптопреобразования.

"...Компрометация ключа - утрата доверия к тому, что используемые ключи обеспечивают безопасность информации..."

Источник:

Постановление Правления ПФ РФ от 26.01.2001 N 15 "О введении в системе Пенсионного фонда Российской Федерации криптографической защиты информации и электронной цифровой подписи" (вместе с "Регламентом регистрации и подключения юридических и физических лиц к системе электронного документооборота Пенсионного фонда Российской Федерации")

"...Компрометация ключа - утрата доверия к тому, что используемые закрытые ключи недоступны посторонним лицам. К событиям, связанным с компрометацией ключей, относятся, в том числе, следующие:

Утрата ключевых носителей;

Утрата ключевых носителей с последующим обнаружением;

Увольнение сотрудников, имевших доступ к ключевой информации;

Возникновение подозрений на утечку информации или ее искажение в системе конфиденциальной связи;

Нарушение целостности печатей на сейфах с ключевыми носителями, если используется процедура опечатывания сейфов;

Утрата ключей от сейфов в момент нахождения в них ключевых носителей;

Утрата ключей от сейфов в момент нахождения в них ключевых носителей с последующим обнаружением;

Доступ посторонних лиц к ключевой информации..."

Источник:

Приказ ФНС РФ от 18.12.2009 N ММ-7-6/691@ "Об утверждении Порядка регистрации участников электронного документооборота для представления налоговых деклараций (расчетов) и иных документов в электронном виде и информирования налогоплательщиков по телекоммуникационным каналам связи"

• - метод оперативного пресечения подрывной деятельности противника...

  Контрразведывательный словарь

• Политология. Словарь.

• - один из нескольких параметров, имеющий формат криптографического ключа и объединяемый с одним или несколькими подобными параметрами путем сложения-по-модулю-два для формирования криптографического ключа...

  Финансовый словарь

• - подрыв репутации, опорочение...

  Экономический словарь

• - подрыв репутации, распространение порочащих сведений...

  Энциклопедический словарь экономики и права

• - оглашение сведений, вызывающих недоверие к кому-либо, порочащих его, подрывающих его авторитет в коллективе, обществе...

  Большая Советская энциклопедия

• - оглашение сведений, порочащих кого-либо, подрывающих доверие к кому-либо в коллективе, обществе...

  Большой энциклопедический словарь

• - Р., Д., Пр....

  Орфографический словарь русского языка

• - КОМПРОМЕТИ́РОВАТЬ, -рую, -руешь; -анный; несов., кого-что. Выставлять в неблаговидном свете, порочить. Компрометирующие данные, сведения...

  Толковый словарь Ожегова

• - КОМПРОМЕТА́ЦИЯ, компрометации, мн. нет, жен. . Действие по гл. компрометировать...

  Толковый словарь Ушакова

• - компромета́ция ж. Оглашение сведений, порочащих кого-либо, подрыв доверия к кому-либо в коллективе или в обществе...

  Толковый словарь Ефремовой

• - компромет"...

  Русский орфографический словарь

• - КОМПРОМЕТАЦИЯ и, ж. compromettre. Действие по знач. гл. компрометировать. БАС-1. В нынешней комрометации - даже и последнее преследование невозможно, а преследование общественного мнения немыслимо. 1867. Огарев - Герцену...

  Исторический словарь галлицизмов русского языка

• - Приамур., Прибайк., Сиб. Бурлить, клокотать. ФСС, 93; СНФП, 79; СРГПриам., 116...
• - у кого. Ворон. О глупом, сумасбродном человеке. СРНГ 13, 322...

  Большой словарь русских поговорок

• - Жарг. мол. Шутл.-ирон. О неглупом человеке с замедленной реакцией. Максимов, 439...

  Большой словарь русских поговорок

"Компрометация ключа" в книгах

Компрометация Молотова

Из книги 1937: Не верьте лжи о «сталинских репрессиях»! автора

Три ключа

Из книги Три ключа автора Рерих Елена Ивановна

Три ключа

Из книги Три ключа автора Рерих Елена Ивановна

Три ключа Посвящаю своим бывшим, настоящим и будущим ученикам Дорогие и юные мои друзья!Эти три великих ключа хранятся не на других планетах, не в иных звездных мирах, а в самом себе. Но, овладевая ими, ты овладеваешь тем, что можно сравнить только с мирами. Разумно ли от

Компрометация Молотова

Из книги Разгадка 37-го года. «Преступление века» или спасение страны? автора Елисеев Александр В

Компрометация Молотова В августе 1936 года прошел первый московский процесс. На скамье подсудимых собрали участников единого антисталинского блока, сложившегося в 1932 году: Зиновьева, Каменева, Смирнова, Мрачковского и т. д. Подсудимые много рассказывали о своих подлинных

Компрометация Молотова

Из книги Правда о 1937 годе. Кто развязал «большой террор»? автора Елисеев Александр Владимирович

Компрометация Молотова В августе 1936 года прошёл первый московский процесс. На скамье подсудимых собрали участников единого антисталинского блока, сложившегося в 1932 году: Зиновьева, Каменева, Смирнова, Мрачковского и т.д. Подсудимые много рассказывали о своих подлинных и

Тип ключа

Из книги Руководство слесаря по замкам автора Филипс Билл

Тип ключа Очень часто замок идентифицируют по типу его ключа. Наиболее яркие примеры – замки под ключ с бородкой и под тубулярный ключ.Замки с тубулярными ключами иногда называют замками «Эйс» (Ace – марка популярного отбеливателя), поскольку они в основном используются в

Компрометация

Из книги Большая Советская Энциклопедия (КО) автора БСЭ

Компрометация закрытого ключа и ключевой фразы

Из книги Введение в криптографию автора Циммерманн Филипп

Компрометация закрытого ключа и ключевой фразы Это простейшая и наиболее легко реализуемая атака, если вы где-то записали пароль к своему закрытому ключу. Если злоумышленник раздобудет запись, а также сам закрытый ключ, он сможет расшифровывать все сообщения и

Компрометация Ивана

Из книги Проза как поэзия. Пушкин, Достоевский, Чехов, авангард автора Шмид Вольф

Компрометация Ивана Как Достоевский ни заботился о «художественном реализме» шестой книги, которая должна была коснуться «самых пошловатых сторон» (30/1, 122), поучения Зосимы убеждают только того, кто уже убежден. В качестве антагониста, уравновешивающего, мало того -

Часть третья КОМПРОМЕТАЦИЯ

автора

Часть третья КОМПРОМЕТАЦИЯ

Компрометация

Из книги КГБ. Последний аргумент автора Атаманенко Игорь Григорьевич

Компрометация В 13.30 Миядзаки запарковал «Тойоту» у магазина «Дары природы» и двинулся за очередным бочоночком своего лакомства.Узнав женщину, которая на приёме буквально не давала ему прохода, Миядзаки сначала опешил от неожиданности, но уже в следующее мгновение во

5. Компрометация оуновских главарей и бандитов, находящихся на нелегальном положении

Из книги Подрывная деятельность украинских буржуазных националистов против СССР и борьба с нею органов Государственной Безопасности автора Комитет Государственной Безопасности при совете министров ССР

5. Компрометация оуновских главарей и бандитов, находящихся на нелегальном положении В подполье ОУН как среди главарей, так и среди рядовых бандитов сильно развито взаимное недоверие.Большие потери, понесенные националистическим подпольем, главари его объясняли

Из книги автора

«Целенаправленная компрометация Тухачевского была!»

Из книги автора

«Целенаправленная компрометация Тухачевского была!» Генерал-лейтенант В. А. Кирпиченко работал в разведке с 1952 г. Около 20 лет работал в арабских странах, с 1971 по 1991 г. был заместителем, потом первым заместителем начальника Первого главного управления КГБ СССР

КОМПРОМЕТАЦИЯ НА ПОРАЖЕНИЕ

Из книги автора

КОМПРОМЕТАЦИЯ НА ПОРАЖЕНИЕ Из исторических хроник известно, что последним аргументом королей для восставшей толпы были пушки, значит - убийство. Последним аргументом Джеймса Бонда был выстрел из пистолета немыслимого калибра, то есть опять убийство. У генерал-майора