Угрозы информационной безопасности, защита информации, шифрование обзорно, авторское право на ПО
Информационная безопасность: понятие
Информационная безопасность — состояние защищённости информации и поддерживающей её инфраструктуры от случайных или преднамеренных воздействий, способных нанести ущерб владельцам или пользователям информации. Традиционно выделяют три ключевых свойства защищённой информации: конфиденциальность (доступ к информации имеют только те, кому это разрешено), целостность (информация не может быть изменена или уничтожена без соответствующих полномочий) и доступность (авторизованные пользователи могут получить доступ к информации в любой нужный момент). Нарушение любого из этих трёх свойств рассматривается как угроза информационной безопасности.
Классификация угроз информационной безопасности
Угрозы информационной безопасности делят на несколько групп. Технические угрозы связаны со сбоями оборудования, отказами электропитания, повреждением каналов связи. Программные угрозы — это вредоносное программное обеспечение (вирусы, черви, шпионские программы) и ошибки (уязвимости) в самом программном коде. Человеческий фактор включает как непреднамеренные ошибки пользователей (случайное удаление данных, слабые пароли), так и преднамеренные действия — атаки злоумышленников (хакеров), кражу и разглашение данных инсайдерами. Отдельно выделяют угрозы, связанные с методами социальной инженерии, когда злоумышленник воздействует не на технику, а непосредственно на человека, обманом вынуждая его раскрыть конфиденциальную информацию.
Вредоносное программное обеспечение
Вредоносное ПО (malware) — программы, созданные с целью нанесения ущерба компьютерным системам или несанкционированного использования их ресурсов. К основным типам относятся: компьютерные вирусы — программы, способные самопроизвольно внедряться (размножаться) в код других программ и файлов и распространяться при их запуске или копировании; сетевые черви — вредоносные программы, самостоятельно распространяющиеся по компьютерной сети без внедрения в другие файлы, используя уязвимости сетевого программного обеспечения; троянские программы — маскирующиеся под полезные программы, но выполняющие скрытые вредоносные действия (кража данных, открытие удалённого доступа злоумышленнику); программы-шифровальщики (вымогатели) — шифруют файлы пользователя и требуют выкуп за расшифровку.
Сетевые угрозы и социальная инженерия
Фишинг — вид мошенничества, при котором злоумышленник, маскируясь под доверенную организацию (банк, почтовый сервис), с помощью поддельных писем или сайтов пытается выманить у пользователя логины, пароли или данные банковских карт. DDoS-атака (Distributed Denial of Service — распределённый отказ в обслуживании) — атака, при которой на сервер одновременно с множества компьютеров (часто заражённых и объединённых злоумышленником в так называемый ботнет) направляется огромное количество запросов, из-за чего сервер перестаёт справляться с нагрузкой и становится недоступен обычным пользователям. Оба вида атак эффективно противодействуют не только техническими средствами, но и элементарной цифровой грамотностью пользователей — умением распознавать подозрительные ссылки и сообщения.
Методы защиты информации
Комплексная защита информации включает организационные и технические меры. К техническим средствам относятся: антивирусное программное обеспечение, обнаруживающее и обезвреживающее вредоносные программы; межсетевой экран (firewall), контролирующий и фильтрующий сетевой трафик по заданным правилам, отделяя защищаемую сеть от внешней; резервное копирование (backup) — регулярное создание копий важных данных на независимом носителе для восстановления в случае утраты оригинала; шифрование данных, делающее их бесполезными для злоумышленника без ключа расшифровки; а также разграничение прав доступа пользователей к информационным ресурсам в зависимости от служебной необходимости.
Криптография: шифрование информации
Криптография — наука о методах обеспечения конфиденциальности и целостности данных с помощью их преобразования (шифрования). При симметричном шифровании для зашифровывания и расшифровывания сообщения используется один и тот же секретный ключ, известный обеим сторонам обмена; такой метод быстр, но требует безопасной передачи ключа. При асимметричном шифровании используется пара ключей — открытый (публичный), которым любой может зашифровать сообщение, и закрытый (приватный), известный только получателю и позволяющий это сообщение расшифровать; такой подход, применяемый, в частности, в протоколе HTTPS, решает проблему безопасной передачи ключа, но требует значительно больших вычислительных затрат.
Простейшим историческим примером служит шифр Цезаря — шифрование заменой, при котором каждая буква исходного текста заменяется буквой, отстоящей от неё в алфавите на фиксированное число позиций k (ключ шифра). Например, при ключе k=3 буква «А» заменяется на «Г», «Б» — на «Д» и так далее (по циклу, с возвратом в начало алфавита при выходе за его пределы):
где P — номер исходной буквы в алфавите (нумерация с нуля), k — ключ (величина сдвига), M — число букв в алфавите, C — номер полученной зашифрованной буквы, а mod — операция взятия остатка от деления. Несмотря на историческую значимость, шифр Цезаря сегодня не обеспечивает никакой реальной защиты — он взламывается элементарным перебором всего M−1 возможных ключей или частотным анализом букв текста.
Пароли и стойкость к перебору
Стойкость пароля к атаке простым перебором (brute force) напрямую связана с количеством возможных вариантов пароля, которое вычисляется по формуле Хартли — той же, что используется для оценки количества информации:
где M — мощность алфавита, из символов которого составляется пароль (например, 26 латинских строчных букв, или 62 при добавлении заглавных букв и цифр), L — длина пароля в символах, N — общее количество возможных паролей.
Задача. Пароль состоит из 4 символов, выбираемых из алфавита, содержащего только цифры (M=10). Оцените количество информации (в битах), которое необходимо перебрать злоумышленнику для гарантированного подбора пароля.
Решение. Найдём число возможных паролей и применим формулу Хартли для количества информации:
Ответ. Около 13,3 бита, то есть примерно 10000 вариантов перебора — очевидно, что такой короткий числовой пароль (PIN-код) крайне ненадёжен; современные рекомендации требуют паролей длиной не менее 12 символов с использованием разных регистров букв, цифр и специальных символов, что кардинально увеличивает M и L, а значит, и N.
Правовые основы защиты информации и авторское право на ПО
Отношения в сфере информации регулируются законодательством: в Российской Федерации действуют, в частности, Федеральный закон «Об информации, информационных технологиях и о защите информации» и Федеральный закон «О персональных данных», устанавливающие обязанности операторов по защите обрабатываемых ими персональных данных граждан. Отдельную важную область составляет авторское право на программное обеспечение: компьютерные программы охраняются законом как объекты авторского права, аналогично литературным произведениям. Это означает, что автор (правообладатель) программы обладает исключительным правом разрешать или запрещать её копирование, распространение и изменение; использование программного обеспечения без соответствующей лицензии (нелицензионное, «пиратское» ПО) является нарушением авторских прав и в ряде случаев влечёт административную или уголовную ответственность.
Социальная информатика: информационное общество и информационная культура
Социальная информатика изучает процессы информатизации общества и их социальные последствия. Информационным обществом называют общество, в котором большинство работающих заняты производством, хранением, обработкой и передачей информации (в первую очередь высшей её формы — знаний), а свободный доступ к информации и знаниям играет ключевую роль в экономическом и социальном развитии. Переход к информационному обществу порождает и ряд проблем: цифровое неравенство (неравный доступ разных социальных групп и стран к современным информационным технологиям), избыточность и недостоверность информации в открытых источниках, вопросы приватности личных данных. Важной составляющей жизни в информационном обществе становится информационная культура личности — совокупность знаний, умений и этических норм, необходимых для эффективной, безопасной и этичной работы с информацией: способность критически оценивать источники, соблюдать нормы сетевого общения (нетикет), уважать интеллектуальную собственность и чужую приватность.
Типичные ошибки
Частая ошибка — считать антивирусную программу абсолютной гарантией защиты, забывая, что значительная доля успешных атак использует не технические уязвимости, а методы социальной инженерии, обходящие любое программное обеспечение через доверчивость самого пользователя. Другая ошибка — путать симметричное и асимметричное шифрование: в симметричном используется один общий секретный ключ для обеих операций, а в асимметричном — разные ключи (открытый для шифрования, закрытый для расшифровки). Также распространено заблуждение, что использование нелицензионного программного обеспечения — не более чем незначительное нарушение правил, тогда как с юридической точки зрения это нарушение исключительных авторских прав правообладателя со всеми вытекающими последствиями.
Краткий словарь терминов
Информационная безопасность — защищённость информации от угроз, нарушающих её конфиденциальность, целостность или доступность.
Вредоносное ПО — программы, созданные для нанесения ущерба компьютерным системам или данным пользователя.
Фишинг — мошенничество с целью выманивания конфиденциальных данных под видом доверенного источника.
Шифрование — преобразование информации с целью сделать её недоступной для чтения без специального ключа.
Симметричное шифрование — шифрование, при котором для зашифровывания и расшифровывания используется один и тот же ключ.
Авторское право на ПО — исключительное право автора программы разрешать или запрещать её копирование и распространение.
Информационная культура — совокупность знаний, умений и этических норм безопасной и этичной работы с информацией.
Заключение
Обеспечение информационной безопасности — комплексная задача, сочетающая технические средства защиты (антивирусы, шифрование, резервное копирование), грамотное правовое регулирование и, что не менее важно, высокий уровень информационной культуры самих пользователей, способных распознать угрозу и осознанно, ответственно и этично действовать в информационном пространстве. Этой темой, объединяющей технические и социальные аспекты информатики, завершается раздел «Архитектура, сети, данные, безопасность» — от устройства отдельного компьютера, рассмотренного в первой статье раздела, до глобальных сетей и вопросов защиты информации в масштабах всего общества.
