Технические меры. 
Информатика и информационные технологии

Под техническими мерами (технологическими или программно-аппаратными) понимают приемы защиты, которые реализуются непосредственно с использованием защищаемых объектов: одного или группы компьютеров, а также средств телекоммуникации. Специфика мер заключается в том, что пользователь имеет с ними дело не только ежедневно (как с физическими мерами), но и ежечасно, ежесекундно. Ошибки пользователя (пользователей), связанные с нарушением технических мер защиты или с пренебрежением ими, очень часты — но оценкам 75−90% всех инцидентов в локальных сетях. Эти ошибки приводят к тяжелым последствиям, так как в большинстве случаев «открывают», делают сеть беззащитной сразу десяткам и сотням пользователей сети. Они своими безграмотными действиями могут быстро по сети растиражировать (скопировать) ошибку или ее последствия.

С какими конкретными приемами технической защиты информации повседневно сталкивается пользователь?

Разграничение прав доступа

Пользователь должен представиться компьютеру (точнее, операционной системе), в процессе идентификации ввести Имя пользователя (например, Иванов). Однако компьютерной системе этого недостаточно, она просит уточнить Иванов — учащийся или Иванов — преподаватель? Пользователь Иванов должен ввести свой пароль. Это процесс аутентификации пользователя компьютером. В современных системах возможно применение других идентификаторов/аутентификаторов — электронных ключей, пластиковых карт, биометрических параметров пользователя. Если пользователь предъявил компьютеру пару идентификатор/аутентификатор, ранее зарегистрированную в системе, то компьютер проводит уже без участия пользователя процесс авторизации — входа в систему с определенными правами доступа к той или иной информации.

Любая попытка нарушить правила выполнения этих трех процессов или обойти (исключить) какой-либо из них должна рассматриваться как попытка осуществить несанкционированный доступ в систему. Авторизованный пользователь может работать только с определенной структурированной информацией (разделами, дисками, сетевыми ресурсами, носителями, папками, файлами). Он не имеет доступа или имеет ограниченный доступ к структурированной информации других пользователей, кроме общедоступных ресурсов. При малейших перерывах в работе рекомендуется выходить из системы или включать хранитель экрана с парольной защитой, чтобы иное физическое лицо не подменило уже авторизованного пользователя.

Управлять доступом к объектам можно с помощью вкладки Безопасность окна Свойства папки (рис. 11.3). В верхней части вкладки указать имя пользователя или группы поль;

Рис. 11.3. Свойства папки, вкладка Безопасность.

зователей, в нижней части задать разрешения на проведение с выбранным объектом определенных действий. Для управления безопасностью выбранного объекта необходимо иметь либо права администратора, либо быть его владельцем.

Если за одним компьютером работает несколько пользователей, каждый из которых имеет свой вход в систему (login и пароль), можно ограничить доступ к определенной папке иным способом. В окне Свойства папки нажать кнопку Дополнительно, вызвать Дополнительные атрибуты, разрешить шифровать содержимое указанного объекта — папки (рис. 11.4). Для пользователя, включившего режим шифрования, работа с нанкой происходит без каких-либо ограничений, вводить пароль не требуется. Другие пользователи увидят зашифрованную папку, но действий с ней и ее содержимым (оно им не доступно) выполнить не смогут.

Если несколько пользователей работают за одним компьютером под одним именем (что крайне нежелательно с точки зрения безопасности), можно воспользоваться одной из платных прикладных программ, предназначенных для шифрования папок, например: HideFolder, Secure Folder, Magic Folder, Lock Folder, Folder Lock.

Парольная защита. В обществе не принято обсуждать важную или информацию ограниченного доступа с незнакомым или малознакомым собеседником. Эту полезную.

Рис. 11.4. Свойства папки, вкладка Безопасность, Дополнительные атрибуты.

привычку освоил и новый «собрат по общению» — компьютер. Процедура представления пользователя недоверчивому компьютеру похожа на общение на улице с милиционером: Ваша фамилия? Предъявите, пожалуйста, документ! Только «академически образованный» компьютер просит пользователя провести идентификацию и аутентификацию.

Идентификация пользователя заключается в том, что он сообщает операционной системе обычно открытую (несекретную) информацию о себе и таким образом представляет, идентифицирует себя. В качестве идентифицирующей информации (имя пользователя или login) может использоваться фамилия пользователя, его профессия, учетный или табельный номер и т. п. Но как операционная система компьютера отличит, кто к нему обращается — Иванов Петр или Иванов Нестор, студент Кузнецов или преподаватель Кузнецов, студент Сидоренко или студентка Сидоренко?

Помимо идентифицирующей информации пользователь должен предоставить операционной системе дополнительную секретную (неизвестную другим пользователям) аутентифицирующую информацию, подтверждающую, что он действительно тот, за кого пытается себя выдать. В теории информации этот процесс называется проверкой подлинности. Аутентификация может применяться не только для установления подлинности пользователей, но и для проверки подлинности источника сообщений — сервера или программы, что особенно важно при работе в многопользовательской среде (локальных, корпоративных или иных сетях).

Пользователь может подтвердить свою подлинность, если предъявит операционной системе один из трех объектов:

• • нечто, что знает (пароль, криптографический ключ и т. п.);
• • нечто, чем владеет (механический или электронный ключ, пластиковая карточка, флеш-карта, таблетка Touch Memory и т. п.);
• • нечто, что является частью его самого (биометрический пароль — отпечаток пальца или ладони, изображение лица, зрачка глаз, сетчатки и т. п.).

Пароль (password) — уникальная строка символов, вводимая пользователем для его аутентификации компьютером и неизвестная другим пользователям и которую операционная система или прикладная программа сравнивает с образцами, хранящимися внутри них в специальном списке.

Назначение паролей — ограничить доступ пользователей к ресурсам и сервисам сети или компьютера, к программам или документам, к базам данных или базам поисковых систем.

Доступ получают только пользователи, предъявившие «правильные» сочетания имени пользователя и пароля. При доступе к программам или документам, к базам данных или базам поисковых систем достаточно предъявить только пароль, так как этот доступ организует операционная система, при первом обращении к которой (при входе в систему) пользователь предъявил свой идентификатор — имя пользователя.

Наиболее важные пароли операционная система хранит в специальных файлах (*.pwl и т. п.) или в защищенных системных базах данных (реестр, registry). Недостатки подобного сохранения очевидны — возможности разрушения или удаления этих хранилищ и замены их на другие.

Пароли для работы с отдельными файлами хранятся внутри этих файлов. При копировании или перемещении файла на другой носитель либо на другой компьютер пароль «переезжает» вместе с файлом, по-прежнему обеспечивая его защиту.

Иногда пользователи «устают» многократно набирать одинаковые пароли и заставляют программу запомнить пароль (сохранить его в специально выделенной области внешней памяти — в кеше). Эта процедура называется кешированием паролей. Однако это опасная процедура. Раз пароль где-то лежит отдельно, его можно удалить либо изменить. Старайтесь избегать кеширования паролей.

Формы хранения паролей также различны:

• символьная — в тексте программы пароль сохраняется в виде набора кодов символов, составляющих пароль; это самая неудачная форма хранения, так как пароль «читается» непосредственно в текстовом редакторе;

• • цифровая — коды символов, составляющих пароль, преобразуются по какому-либо закону, перекодируются и в окнах диалога подменяются звездочками; эта форма хранения более устойчива, по существуют программы вскрытия и показа тех символов, которые прячутся под звездочками (программа Open Pass);
• • шифрованная — как правило, пароль удлиняют, добавляя в него так называемые «соль» или «мусор», в качестве которых могут использоваться имя пользователя, время входа в систему, время открытия файла или просто генерируемое случайное число; удлиненный пароль шифруется и раскрыть его, не зная алгоритмы удлинения и шифрования, практически невозможно;
• • сжатая — пароль сначала удлиняют («присаливают» или «замусоривают»), а затем с помощью специальных хеш-функций сжимают, получают хеш-образ пароля, который и хранят во внешней памяти; этот процесс называют хешированием паролей (не путайте с кешированием) и раскрыть пароль, не зная алгоритмы удлинения и хеширования, практически невозможно.

Пользователи пишут пароли в незащищенных местах. Инженеры и администраторы по информационной безопасности находят пароли, записанными (это, кстати, одна из основных их обязанностей):

• • на клочках бумаги и в черновиках служебных документов;
• • в блокнотах и на визитках (чего мелочиться, дарить, так дарить);
• • внутри авторучек и в/на сувенирах на рабочем столе;
• • на обратной стороне мыши, коврика, клавиатуры;
• • на полке под клавиатурой, на стенках ящиков рабочего стола;
• • сзади, сбоку и на подставке монитора;
• • «списывают готовые» пароли с календарей или с рекламного щита напротив (что происходит при смене календаря или рекламы и так понятно);
• • шедевр записи — пароль, записанный на подошве ботинка, который из-за сильного сезонного похолодания остался дома и очень подвел хозяина.

Пароль нельзя записывать (запись обязательно прочтет тот, кому это не требуется, а вы сами забудете, где сделали запись), пароль необходимо запоминать!!!

" Вспомнить" забытый пароль можно одним способом — провести атаку (взлом) пароля специализированной программой, которая есть в Интернете.

Виды атак на пароли:

• • социотехника, или социоинженерия, — получение пароля обманным путем у тех, кто его знает;
• • копание в мусоре — получение пароля из «информационных» отходов вашей деятельности; если пароли не записывать и не кешировать в компьютере, то этой опасности не будет;
• • подглядывание — если сотрудники внимательны к вашей (а не собственной) профессиональной деятельности, т. е. опасность, что кто-то запомнит ваш пароль;
• • словарная атака — зная, какая программа хочет получить пароль, можно направлять ей последовательно слова из обычного или специализированного частотного словаря (слова расположены не по алфавиту, а убыванию частоты использования в разговорной речи); можно относительно быстро подобрать пароль, если он содержит словарное слово на одном языке;
• • полный перебор всех возможных вариантов (силовая атака или метод грубой силы) — сколь ни много символов вводится, все они образуют, как говорят математики, конечное множество, элементы которого можно сосчитать; вопрос — за какой промежуток времени.

В табл. 11.2 приведено время полного перебора паролей.

Таблица 11.2

Трудоемкость силовой атаки со скоростью 200 тыс. паролей в секунду

Правила формирования надежною (устойчивого) пароля. Пароль заменяется каждые 45 дней (интервал между сменой паролей должен быть меньше, чем время, необходимое для их взлома).

• • Время жизни паролей по умолчанию (паролей инсталлированных программ и еще не измененных) не более 3 суток.
• • После 3−5 (по усмотрению администратора) неудачных попыток набора пароль блокируется на несколько часов.
• • Введение временной задержки при проверке пароля и выдаче сообщения о приеме или отклонении введенного пароля.
• • Новый пароль не должен совпадать с 3−5 последними ранее использованными.
• • Длина пароля должна быть в пределах 6−10 символов для пользователей и не менее 12 символов для администраторов.
• • Символы, используемые в пароле, не должны образовывать словарное слово.
• • Пароль должен содержать и буквы, и цифры, и специальные символы.
• • При наборе пароля необходимо использовать и строчные, и прописные буквы.
• • При наборе пароля необходимо использовать символы алфавита двух языков.

Для анализа пригодности наборов символов в качестве паролей их разбивают на категории надежности, присваивая каждой категории числовой код, в соответствии со следующими требованиями.

Никакие (условный числовой код — 0) — одинаковые буквы одного алфавита или только одни цифры. При силовой атаке один символ пароля подбирается за 10 попыток для числового пароля, за 32 — для букв русского языка.

Слабые (код — 1 или 12) — символы образуют словарное слово на одном из языков (код — 1) и/или используются и строчные, и прописные буквы одного алфавита (код — 2). Для взлома пароля используется словарная атака с применением хакерских частотных словарей.

Сильные (код — 23) — используются и строчные, и прописные буквы одного алфавита (код — 2) и символы не образуют словарного слова на одном из языков (код — 3). При силовой атаке один символ пароля подбирается за 66 попыток для букв русского языка.

Крепкие (код — 234) — используются и строчные, и прописные буквы одного алфавита (код — 2), символы не образуют словарного слова на одном из языков (код — 3) и цифры совместно с символами (код — 4). При силовой атаке один символ пароля подбирается за 76 попыток для букв русского языка.

Трудные (код — 2345) — используются и строчные, и прописные буквы одного алфавита (код — 2), символы не образуют словарного слова на одном из языков (код — 3), цифры совместно с символами (код — 4) и символы двух языков (двух алфавитов) (код — 5). При силовой атаке один символ пароля подбирается за 128 попыток (10 цифр + 33 • 2 русск. букв + 26 • 2 англ. букв).

Надежные (код — 23 456) — используются и строчные, и прописные буквы одного алфавита (код — 2), символы не образуют словарного слова на одном из языков (код — 3), цифры совместно с символами (код — 4), символы двух языков (двух алфавитов) (код — 5) и специальные символы (не буквы алфавита и цифры) (код — 6). При силовой атаке один символ пароля подбирается за 224 попытки (все символы из кодовой таблицы ANSI).

Как создать и запомнить пароль?

Главный принцип — ассоциативное запоминание. Многие в детстве пытались запомнить последовательность чередования цветов в спектре: красный, оранжевый, желтый, зеленый, голубой, синий, фиолетовый. Сочинение поговорки, но первым буквам названий цветов упрощает запоминание — «Каждый охотник желает знать, где сидит фазан». Фактически одни слова заменены другими, образуя легко запоминающуюся фразу.

Существуют разные подходы к решению непростой задачи — составление и запоминание пароля. В добавление к ассоциативному запоминанию используется способность большинства людей усваивать логические последовательности действий — алгоритмы.

Первый подход применяется для недолго живущих паролей к файлам и архивам, которые надо переместить с одного компьютера на другой, а затем они (и файлы, и их имена, и пароли) могут быть изменены.

В этом случае пароль формируется из названия файла или архива по определенным правилам. Пусть название файла — Годовой отчет.dос.

Пропускаем гласные — пароль Гдвтчт,

пропускаем согласные — пароль Оооое,

заменяем гласные числами — пароль Г1д2и345тч6т,

заменяем русские буквы похожими английскими — пароль Гдbtчt.

записываем буквы справа налево и т. п.

Недостаток данного подхода очевиден — опасна смена имени файла или архива, вот почему он применим только для недолго живущих паролей.

Второй подход более универсален — запомнить поговорку, пословицу, строфу стихотворения или строку песни, а из них составить несколько паролей, которые будете знать только вы и легко сами восстановите.

Пример пароля: Ксжс6зпи — получен из фразы «Каждый студент желает сдать шестой зачет по информатике» (жирные буквы — русские, остальные — английские).

Третий подход более простой — повторить любимое слово или словосочетание несколько раз, разделив повторения каким-нибудь спецсимволом или спецсимволами.

Пример пароля: Каша+Каша-Каша=Каша Четвертый подход самый простой, если вы обладаете хорошей памятью, — запомнить в качестве пароля целую фразу.

Примеры паролей: Вон из Москвы! Сюда я больше не ездок!

или В деревню, к тетке, в глушь, в Саратов!

В течение одного сеанса работы за компьютером придется вводить (и соответственно крепко помнить) до шести-семи различных паролей. Рассмотрим эти ситуации.

• 1. Пароль на доступ в операционную систему. Если за компьютером работают несколько человек или в помещение, где расположен компьютер, имеют доступ другие люди, то наличие этого пароля обязательно.
• 2. Пароль на открытие файлов с документами. Если документы не переносят с компьютера на другой, можно воспользоваться одним паролем для большой группы однотипных файлов, например, документов Microsoft Word.
• 3. Пароль на изменение режима доступа к документу (только чтение, разрешение на запись исправлений, защиту данных в полях форм). Чаще всего ставят пароль, защищающий только один из режимов доступа к документу. Поэтому для защиты разных режимов доступа в одном документе или в разных документах можно использовать один и тот же пароль.
• 4. Пароль на доступ к файлу архива. Если вы переносите документы с одного компьютера на другой, следует воспользоваться отдельным паролем, который ставится на открытие сжатого, заархивированного документа (файла архива). Так как этот пароль будет набираться на разных компьютерах, он должен отличаться от пароля на открытие файла конкретного документа (документов).
• 5. Пароль на отмену спящего режима или на выключение режима хранителя экрана монитора, включаемых при непродолжительном отсутствии вас на рабочем месте.
• 6. Пароль (пароли) на доступ к локальным сетевым ресурсам (сетевым дискам, сетевому принтеру).
• 7. Пароль (пароли) на доступ к глобальным сетевым ресурсам или сервисам глобальной сети (на доступ в Интернет, на открытие электронного почтового ящика, на использование системы шифрования, на использование вычислительных ресурсов удаленного компьютера, на доступ к блогу или личному журналу).

В многопользовательских системах ставят пароли на изменение настроек отдельных программ, на изменение настроек и администрирование операционной системы (управление доступом к компьютеру различных пользователей), па ограничение доступа детей к отдельным программам и т. д.

Внимательно изучите виды паролей, правила запоминания паролей и обязательно соблюдайте рекомендации на практике.

Пользователи понимают, что ввод в пароль специальных символов, которые не являются цифрами и буквами какого-либо алфавита, повышают надежность пароля. Но вывод делается часто неверный — набирать пароль только из спецсимволов.

Недостатков данного подхода несколько.

• 1. Пароль очень трудно запомнить, а несколько подобных паролей практически невозможно.
• 2. Пароли, составленные только из спецсимволов, трудно многократно вводить с клавиатуры. Поэтому на компьютере находят «секретное», но не для хакеров и крекеров, место для их хранения.
• 3. Сам пароль составляется, набирается в одном из редакторов с использованием команды Вставка, Символ и нестандартных, экзотических шрифтов. Затем копируется через буфер обмена в строку ввода пароля. При этом пользователь упускает из вида, что набирается и копируется пароль в OEM-кодировке. А при вставке компьютер использует стандартную, скорее всего, кодировку ANSI. В качестве примера в первой колонке табл. 11.3 приведены пароли, на-

Таблица 11.3

Представление одного пароля в разных кодовых таблицах

Набранный пароль.	Пароль, обрабатываемый компьютером в ANSI.	Пароль, обрабатываемый компьютером в KOI-8R.
	Набранный.	оБВТБООЩК.
	пароль.	РБТПМШ.
	Письмо*.	рЙУШНГГ.
	&Вк.	?ЙМ.
	Нож" .	оПЦ" .

бранные пользователями в текстовом редакторе Microsoft Word шрифтом Wingdings. Во второй колонке — «взгляд» на эти пароли «глазами» компьютера.

Пароли, составленные из спецсимволов, конечно, имеют право на существование. Но среди них встречаются как слабые (вторая и третья строки таблицы), так и надежные (4−6 строки таблицы). Чтобы проверить, как компьютер воспринимает набранный вами пароль, следует скопировать его через буфер обмена в Блокнот или в адресную строку Internet Explorer.

Сложнее при переносе пароля из ANSI в программу с другой кодовой таблицей, например KOI-8R. Сравните вторую и третью колонки табл. 11.3.

Какой же набор символов в качестве пароля набран пользователем?

Разумнее при составлении и вводе пароля не использовать экзотические шрифты и заранее проверить, какой кодовой таблицей пользуется ваш компьютер. Пароль для открытия документа, введенный на другом компьютере, будет выполнять свои функции, но его внутреннее (для прикладной программы) представление будет иное. Только программы, хорошо интегрированные в операционную систему (программы-приложения), способны обеспечить корректную работу с такими паролями. Но перенос документа, созданного в программе — приложении Windows, на другую платформу, в которой кодовое представление части символов иное, приведет к проблемам при открытии.

Следует помнить, что не все символы даже из стандартной кодовой таблицы ANSI корректно переносятся на другие платформы, например в Маc ОС, что может вызывать проблемы (как на рис. 11.5).

Рис. 11.5. Предупреждение о проблеме кодировки пароля.