Продажа защиты

на это необходимых средств, а сотрудников информационных служб явно недостает для создания систем, необходимых для защиты данных. Более того, руководство компаний не считает защиту приоритетным направлением.

Системные администраторы и аналитики полагают, что для реализации серьезной программы корпоративной безопасности необходимо в первую очередь убедить руководство в важности защиты информации, и затем провести своего рода "агитацию" среди остальных сотрудников компании. Без этого самые совершенные технологии защиты, такие как шифрование и брандмауэры, обречены на гибель.

Повсеместная поддержка

Недавний опрос, проведенный Datapro Information Services Group, ставил задачу выявить отношение компаний к проблеме создания системы защиты своих сетей. Оказалось, что лишь 54% опрошенных осуществляют формальную политику защиты информации. Большая часть компаний планирует потратить в среднем только 5% всего бюджета, отпущенного на информационные технологии, на меры обеспечения безопасности.

Ребекка Дункан, один из авторов отчета, считает, что реализация систем защиты продвигается столь медленно из-за того, что не получает поддержки со стороны руководства.

"К сожалению, бытует мнение, что расходы на защиту - это, в конечном итоге, деньги, выброшенные на ветер, - отметила Дункан. - Для многих компаний естественно думать, что их информация не представляет никакой ценности и конкуренты не посчитают нужным ее доставать".

Однако, по последним данным, потери от вторжений в сеть больше, чем многие себе представляют. Опрос, проведенный WarRoom Research, показал, что 69% несанкционированных компьютерных вторжений обходятся компании, оказавшейся в роли жертвы, в 50 тыс. долл. и более, в то время как 27% подобных инцидентов влекут за собой ущерб, превышающий полмиллиона долларов.

Некоторые специалисты, такие как Тим Купер, директор по информационным системам компании DuCharme, занимающейся консультациями по налогам, на своем опыте знают, насколько тяжело создавать программы безопасности без серьезной поддержки со стороны руководства компании. Его планы по разработке системы безопасности трудно реализуемы из-за отсутствия необходимых ресурсов и сотрудников. Куперу пришлось немало потрудиться, добиваясь того, чтобы распределенная сеть компании работала бесперебойно.

"Одна из наших обязанностей - обеспечение связи, и в этой области мы уязвимы, - сказал Купер. - К сожалению, эта проблема не воспринимается как приоритетное направление, пока не происходит трагедии".

"Система безопасности все больше напоминает страховку, - считает Стефан Гобб, руководитель специального проекта американской ассоциации компьютерной безопасности (NCSA). - Вы не цените ее, пока нет случая ею воспользоваться. Это игра. Вы должны "продать" идею информационной защиты".

В отличие от Купера, Скотт Стид, администратор локальной сети компании Pier One Imports, пользуется поддержкой со стороны руководства. В частности, благодаря этому Стид получил необходимые средства, чтобы содержать нужных сотрудников, занимающихся администрированием системы защиты.

Но не все системные администраторы столь удачливы. Большинству приходится убеждать руководителей компании в необходимости осуществления корпоративной политики безопасности. К счастью, системные администраторы имеют массу аргументов в поддержку такой позиции.

За нескончаемыми дополнительными примерами решения (или нерешения) проблем безопасности системные администраторы могут обратиться к компьютерной прессе.

Добровольные адвокаты защиты данных могут вооружиться программным обеспечением, позволяющим распознать неавторизованные попытки доступа в сеть компании, тем самым делая работу над системами безопасности более наглядной для руководства. На Web-сервере NCSA (http://www.nsca.com) можно найти список таких программных продуктов. Придать еще большую убедительность аргументам системных администраторов, предоставив отчеты о распространенных случаях нарушения защиты, могут привлеченные независимые консультанты.

Грехэм Шелдон, директор по операциям компании OrCAD, выпускающей программное обеспечение автоматического проектирования электронных систем, в которой работает около 130 человек, регулярно встречается со своим исполнительным директором для обсуждения вопросов защиты, например установки в компании иерархического доступа к информации.

Политика безопасности

Как только системные администраторы заручатся поддержкой руководства, они должны будут сформулировать развернутую политику, которая определит назначение каждого элемента системы безопасности компании и позволит руководить всеми действиями сотрудников в отношении всех данных и всех сетей, как указывает Брет Джексон, первый вице-президент по продажам и маркетингу компании Axent Technologies, выпускающей комплект решений по защите.

Необходимо принять во внимание все вопросы обеспечения безопасности, начиная с шифрования, паролей и иерархического доступа пользователей к информации, и заканчивая установкой брандмауэра. Продуманная политика обеспечивает каркас для построения надежной структуры защиты.

"Необходимо сохранять уверенность в надежности и целостности своего плана, поскольку его будет очень трудно изменить", - отметил Стид.

Руководство многих компаний готово ухватиться за технологические решения, вместо того чтобы не торопясь продумать все аспекты сетевой защиты.

"Не стоит выкладывать кругленькую сумму за брандмауэр, если он не является частью развернутой политики безопасности, - считает Гобб. - Одна из распространенных ошибок состоит в том, что компании применяют брандмауэр, сохраняя на крайне низком уровне остальные компоненты системы защиты".

В списке приоритетов хорошей системы безопасности, предложенном Гоббом, брандмауэр стоит всего лишь на пятом месте. Первый шаг - это создание и внедрение многосторонней политики. Второй - информирование сотрудников об этой политике. Третий - тестирование возможностей существующей защиты. И четвертый - установка систем аутентификации.

Образование пользователей

Хотя позиция руководства критически важна для инициации эффективной системы безопасности, первой линией обороны любой системы сетевой защиты являются сотрудники компании. Необходим ряд образовательных мероприятий для всех сотрудников компании.

Стид, к примеру, регулярно проводит занятия, где обучает сотрудников тому, как изменить пароль и профайл пользователя. Системный администратор одной из компаний даже публикует регулярный бюллетень, где обсуждает вопросы защиты. А Шелдон использует автоматизированную систему рассылки сообщений электронной почты, которая передает новым сотрудникам "приветственное" сообщение, разъясняющее процедуры защиты и последствия их нарушений.

Такие шаги особенно важны, поскольку исследования показали, что многие нарушения защиты умышленно или неумышленно спровоцированы сотрудниками самих компаний. Опрос Datapro показал, что в 57% случаев инцидент возникает вследствие мошенничества или злоупотребления сотрудников. Другие 17% респондентов заявили, что виновны в нарушениях защиты сотрудники, ушедшие из компании.

В основе простейших способов усиления защиты сети лежат разъяснения, проводимые среди сотрудников компании.

"Если компании заботятся о совершенствовании используемых паролей, они могут повысить надежность защиты на 30%, - отметил Дункан. - Для этого им всего-навсего необходимо регулярно проводить "чистку"".

Купер, например, заметил, что он всячески борется с сотрудниками, пишущими свои пароли на наклейках и прикрепляющими их к монитору компьютера.

Многие системные администраторы вынуждены убеждать как руководителей, так и рядовых сотрудников в том, что средства обеспечения безопасности не должны восприниматься как неудобство. По их словам, самая большая проблема - заставить людей относиться к защите серьезно.

Чтобы "насадить" идею безопасности среди руководства и сотрудников компании, требуется определенная дипломатичность. Реальную угрозу безопасности представляет сегодня Internet. Но горе специалистам по информационным системам, пытающимся убедить менеджеров по маркетингу в том, что тем не следует размещать публикации в World Wide Web и запускать апплеты Java, поскольку это-де наносит ущерб безопасности корпоративной сети!

И, опять-таки, при серьезной поддержке руководства подобные вопросы обучения системным администраторам решать значительно проще.

"Старайтесь быть настойчивыми в стремлении реализовать в своей организации то, в чем вы заинтересованы", - резюмирует Шелдон.

Что такое шифрование

Эксперты по безопасности согласны с тем, что продуманное использование шифрования - это наилучший способ сохранить конфиденциальные данные в секрете от любопытствующих, которые могут украдкой проникнуть в компьютер, перехватить сообщение электронной почты или проскользнуть через брешь в брандмауэре. Шифрование - это настоящая рабочая лошадка науки криптографии. Оно представляет собой процесс преобразования данных, в результате которого их невозможно прочесть, не зная дешифрующего ключа.

Сначала немного о терминологии. В криптографии файл любого типа, который не зашифрован, называется "открытый текст" (plaintext); зашифрованные данные носят название "зашифрованный текст" (ciphertext). Простейший шифрующий алгоритм, или шифр, как еще его иногда называют, Ceasar Cipher (перестановочный шифр) состоит в том, чтобы заменить каждый символ открытого текста, поменяв местами две буквы, например так, что A станет D, P станет S, Z станет C и так далее по всему алфавиту. Открытый текст благодаря этому превращается в абсолютно непонятный зашифрованный.

Конечно, уровень защиты, предоставляемый таким устарелым алгоритмом, равен нулю. Современные алгоритмы шифрования безусловно более совершенны, поскольку зашифрованный текст часто может скрывать информацию стоимостью в тысячи и даже миллионы долларов. Сейчас серьезные алгоритмы, которые нет необходимости держать в секрете, представляют собой ту или иную математическую задачу, которую сложно решить, не имея подходящего ключа. "Сложно" в данном случае означает, что требуются вычисления на тысячах систем, и получить ответ можно через месяцы, годы, а иногда и после конца света.

Наиболее распространенные алгоритмы шифрования можно условно отнести к двум категориям: шаблонные алгоритмы и алгоритмы открытого ключа. Шаблонные алгоритмы являются симметричными и требуют для шифрования/дешифрования одного и того же ключа. Их лучше всего использовать для шифрования файлов на жестком диске.

Алгоритмы открытого ключа, напротив, являются ассиметричными и используют различные ключи: открытый ключ и закрытый (секретный) ключ для шифрования и дешифрования соответственно. Алгоритм открытого ключа позволяет использовать файлы, в частности корреспонденцию, передаваемую по электронной почте, совместно с другими пользователями. В системе, использующей открытый ключ, если, к примеру, Саша хочет послать Маше зашифрованное сообщение, Маша сначала должна послать Саше свой открытый ключ. Саша затем, при помощи машиного открытого ключа, зашифрует для нее сообщение. Когда Маша получает сообщение от Саши, она может расшифровать его своим закрытым ключом.

Шифрование открытым ключом решает задачу использования нескольких ключей, но оно медленнее по сравнению с шаблонным шифрованием. Управление ключом в шаблонном шифровании является серьезной задачей, поскольку несколько файлов могут быть зашифрованы разными ключами.

Хотя хорошие алгоритмы шаблонного шифрования и шифрования открытым ключом весьма надежны, соответствующая длина ключей варьируется в зависимости от обеспечиваемого ими уровня защиты. Ранее группа ученых-криптографов выпустила документ, который рекомендует для симметричных алгоритмов, применяющихся в коммерческих системах, использование ключа, имеющего не менее 90 разрядов. Во многих продуктах эти рекомендации уже приняты; они допускают применение 128-разрядных ключей. Ключ размером в 128 разрядов означает, что желающему узнать ваши секреты методом проб и ошибок придется перебрать 2^128 возможных ключей. Симметричные алгоритмы, размер ключей которых составляет 40 бит, могут быть взломаны (и взламываются) хакерами.

Открытые ключи, однако, должны быть длиннее, поскольку в ассиметричном шифровании используются другие математические алгоритмы. Размеры ключей для надежной защиты, использующей алгоритм шифрования открытым ключом RSA, имеют от 768 до 2048 разрядов. Взлом RSA означает разрешение задачи разложения на множители целого числа.

По оценкам криптографов, факторизовать (разложить на множители) 2304-разрядный открытый ключ столь же трудно, как и взломать 128-разрядный симметричный ключ методом проб и ошибок.

Первая поправка, террористы и ключ от квартиры

У американцев есть две темы, дебаты по поводу которых отличаются особой ожесточенностью. Это первая поправка к Конституции, гарантирующая свободу слова и право на свободное владение оружием. Любое дело, если оно оказывается связанным с первой поправкой, приобретает общественное звучание, и решение по его поводу зачастую бывает больше связано именно с этой связью, а не с обстоятельствами конкретного дела.

Один из таких конфликтов разгорелся в связи с намерением американского правительства ограничить экспорт средств шифрования. Политика администрации Клинтона в этой области давно вызывает разнообразные нарекания. Однако, пока для широких масс проблемы, связанные с шифрованием данных, были техническими (сколько разрядов должен иметь ключ), то есть не слишком понятными и уж точно - не слишком актуальными и касались, в основном, взаимоотношений крупного бизнеса с большой политикой (где и как ключ должен храниться), общественность воспринимала ее достаточно отстраненно. Страсти разгорелись, когда дело коснулось конкретного профессора математики, который пожелал осуществить свое конституционное право на свободу слова - преподавать криптографию студентам и размещать материалы своих лекций на Internet. Хотя, разумеется, это дело не получило бы такого резонанса, по крайней мере в компьютерной прессе, если бы в нем косвенно не были затронуты интересы множества компаний, и производящих ПО для шифрования, и пользующихся им.

Для нашей страны пока проблемы с ключами и средствами шифрования (тем более - их экспортом) не слишком актуальны. Однако все заморские веяния в области информатики (да и гражданских прав) рано или поздно приходят и к нам. Связанные с ними проблемы, естественно, тоже. Причем, зачастую, в более тяжелой форме. Так что и нашим гражданам и компаниям тоже надо быть готовым, что у них попросят ключ от того места, где информация лежит.

Что же касается "террористов и преступников", борьбой с которыми традиционно объясняются все ущемления прав законопослушных граждан, то в руках у них волшебным образом появляется все, что им необходимо для их профессиональной деятельности, сколь бы незаконно это не было.

Небезынтересно, кстати, что судья из Калифорнии, в которой находится большое количество компьютерных компаний, вынес решение в пользу частного лица (не потому ли именно там, а не в родном Иллинойсе, начал процесс профессор из Чикаго) и счел правила регулирования экспорта неконституционными, а приближенный (географически) к правительству судья из округа Колумбия решил аналогичное, на первый взгляд, дело Карра в пользу правительства.

Многие читатели заметят, что статьи изрядно перекликаются, в них используются зачастую одни и те же цитаты. Однако проблема рассматривается в них под разными углами, а сокращение статьи путем удаления "избыточной" информации привело бы к тому, что они стали бы "рваными", и читающему подборку пришлось бы искать по всему материалу тексты подходящих цитат.

Способы цифровой криптографии

Традиционная криптография

Один человек шифрует документ (или цифровой телефонный разговор), используя ключ, основанный, например, на принятом сегодня в США стандарте DES (Data Encryption Standard). Тот, кто шифрует, должен предоставить тот же самый ключ получателю. Проблема такого подхода состоит в том, что отправитель и получатель по крайней мере один раз должны установить контакт для обмена ключами, до того как они смогут совместно использовать зашифрованные данные.

Стандартная система (DES)

Элис шифрует документ с помощью DES-ключа. Боб расшифровывает документ с помощью того же ключа.

Совместное использование ключей в стандартных системах требует предварительного взаимодействия между партнерами. При использовании DES возникает проблема "курицы и яйца" - как обменяться секретным ключом по незащищенной сети с кем-либо, кого вы не знаете.

Криптография с открытым ключом

В 1976 году Уэтфилд Диффи и Мартин Хелман предложили теорию шифрования с использованием открытого ключа. По их схеме каждый пользователь имеет два ключа один для широкого распространения по электронным сетям, а другой, честный, специально себя. В 1997 три профессора MIT, Дональд Ривест, Эди Шамир и Лен Эдлман, создали алгоритм реализации криптографии с открытым ключом. Позже они образовали компанию RSA Data Security.

Концепция открытого ключа

Чтобы послать документ кому-либо, с кем вы никогда не встречались, надо сначала получить открытый ключ получателя и использовать его для кодирования передачи.

Только получатель сможет декодировать передачу, используя свой частный ключ. Информация, зашифрованная с помощью открытого ключа, может быть расшифрована только с помощью соответствующего частного ключа и наоборот.