СРОЧНО!!!!!Управление доступом к информации с помощью XACML, XML SECURITY, по предмету защиты баз данных

Вот некоторые из них:

— XML Security Library (Aleksey Sanin) —

http://www.aleksey.com/xmlsec/;

— KeyTools XML (Baltimore) —

http://www.baltimore.com/keytools/xml/;

— XML Security (Phaos) —

http://phaos.com/products/category/xml.html;

— XML Signature SDK (Verisign) —

http://www.xmltrustcenter.org/xmlsig/developer/verisign/index.htm.

8. Защита данных на основе XML

8.1 Язык разметки заявлений системы безопасности (SAML)

Направление, отличное от защиты XML-данных, но тесно с ним связанное, — это улучшение безопасности и защищенности систем (протоколов) на базе XML. В этом случае при помощи XML защищаются другие документы / системы / приложения. В настоящее время комитет безопасности Организации по развитию стандартов структурирования информации (Organization for the Advancement of Structured Information Standards, OASIS) занимается разработкой языка разметки заявлений системы безопасности (Security Assertion Markup Language, SAML).

SAML (

http://www.oasis-open.org/committees/security/) заимствует синтаксис и семантику у XML и использует ее для расширения функций безопасности, относящихся к аутентификации и авторизации. Основные задачи, возлагаемые на SAML, — построение базовых конструкций, необходимых для обмена мандатами, определение протоколов для запросов, ответов и основных правил, а также описание связей SAML с другими протоколами, такими как HTTP, SOAP (Simple Object Access Protocol) и ebXML.

В настоящее время SAML рассматривается как первый стандарт для защиты транзакций электронной коммерции.

8.2 Спецификация управления ключами XML

Спецификация XML Key Management Specification (XKMS) определяет протоколы распространения и регистрации открытых ключей, поиск и проверку достоверности ключей, используемых для целей безопасности (как для ЭЦП, так и для шифрования). Она состоит из двух частей: спецификации XML Key Information Service (X-KISS) и XML Key Registration Service (X-KRSS) и доступна по адресу:

http://www.w3.org/TR/xkms/.

9. Федеральный закон «Об электронной цифровой подписи»

9.1 Цели

Давайте немного отвлечемся от законодателей в области Web и рассмотрим Федеральный закон «Об электронной цифровой подписи», который был утвержден Президентом РФ 10 января 2002 года (

http://www.internet-law.ru/intlaw/laws/ecp.htm). Принятие этого закона обеспечило правовые условия использования электронной цифровой подписи в электронных документах, при соблюдении которых электронная цифровая подпись в электронном документе признается равнозначной собственноручной подписи в документе на бумажном носителе. Таким образом, заложены основы для создания юридически значимого электронного документооборота.

9.2 Условия равнозначности ЭЦП и обычной подписи

Закон определяет основные понятия, используемые в процедуре ЭЦП, такие как сертификат, открытый и закрытый ключи, подтверждение подлинности электронной цифровой подписи (мы их рассматривали ранее) и др. Далее закон определяет условия, при которых электронная цифровая подпись в электронном документе равнозначна подписи в документе на бумажном носителе. Это означает в первую очередь то, что сертификат ключа подписи, относящийся к этой электронной цифровой подписи, не утратил силу на момент проверки или на момент подписания электронного документа. Кроме того, должна быть подтверждена подлинность электронной цифровой подписи и то, что ЭЦП используется в соответствии со сведениями, указанными в сертификате ключа подписи.

9.3 Сертификаты и удостоверяющие центры

Закон подробно описывает, из чего состоит сертификат ключа подписи (уникальный регистрационный номер, ФИО владельца, открытый ключ ЭЦП, наименование и местонахождение удостоверяющего центра и др.); сроки и порядок хранения сертификата в удостоверяющем центре. Так, срок хранения сертификата ключа подписи в форме электронного документа в удостоверяющем центре определяется договором между удостоверяющим центром и владельцем сертификата ключа подписи. Что касается хранения, то оно определяется законодательством Российской Федерации об архивах и архивном деле. Отдельная глава закона посвящена удостоверяющим центрам. Сам процесс выработки и проверки ЭЦП может проходить и без участия удостоверяющих центров, если это подтверждено договором сторон. Однако в информационных системах общего пользования и во многих корпоративных информационных системах применение ЭЦП без функционирования удостоверяющих центров невозможно, так как это приведет к достаточно простым механизмам подделки подписи.

9.4 Закрытые (секретные) ключи

Свои функции ЭЦП может выполнить только при наличии у подписывающего лица некоторой информации, недоступной посторонним людям. Эта информация аналогична ключу при шифровании и поэтому получила название «закрытый ключ электронной цифровой подписи» (раньше использовался аналогичный термин «секретный ключ»). Необходимо сохранять в тайне, как закрытый ключ, так и ключ шифрования, поскольку знание закрытого ключа подписи соответствует чистому листу бумаги с подписью владельца закрытого ключа, на котором злоумышленник может написать любой текст, который будет приписан настоящему владельцу закрытого ключа. Ст. 12 закона прямо указывает на обязанность владельца сертификата ключа подписи хранить в тайне закрытый ключ и немедленно требовать приостановления действия сертификата ключа подписи при наличии оснований полагать, что тайна закрытого ключа подписи нарушена.

Ст. 5 Закона устанавливает порядок создания закрытых ключей подписи именно с учетом строгого соблюдения тайны их создания. На это же обстоятельство указывает и ст. 9 Закона, касающаяся деятельности удостоверяющих центров. В корпоративных информационных структурах вопрос изготовления и рассылки закрытых ключей ЭЦП может решаться собственными методами, однако при этом пользователь ЭЦП должен отдавать себе отчет в возможных последствиях такой организации функционирования ЭЦП. Вполне возможны случаи, когда в качестве закрытого ключа будет использоваться какая-то закономерная последовательность, как это бывает при использовании системы паролей.

10. Отечественные стандарты на алгоритмы ЭЦП

10.1 Схема Эль-Гамаля

В 1994 году был принят первый отечественный стандарт в области ЭЦП — ГОСТ Р34.10 — 94 «Информационная технология. Криптографическая защита информации. Процедуры выработки и проверки электронной цифровой подписи на базе асимметричного криптографического алгоритма». Он определяет процедуры работы с ЭЦП на основе схемы Эль-Гамаля. Невозможность подделки подписи обусловлена сложностью решения задачи дискретного логарифмирования в поле из р элементов или сложностью заданного большому простому числу р и числам a, b из интервала от 2 до р-1 определения числа х, которое выполняется сравнением: ax = b mod p. Однако математики не стоят на месте, и в последнее время достигнут большой прогресс в развитии методов решения задачи дискретного логарифмирования в поле из р элементов. Недавно был создан так называемый метод решета числового поля. С его помощью можно взломать ЭЦП, сформированную вышеуказанным методом (по крайней мере, в случае 512-битного модуля р).

Одно из простейших решений этой проблемы — увеличение длины модуля р. Но, к сожалению, при увеличении р ухудшаются эксплуатационные свойства алгоритма, поскольку увеличиваются длина открытого ключа и время выработки и проверки подписи.

10.2 Эллиптическая кривая

Российские ученые в конце концов пришли к выводу, что можно немного усложнить схему Эль-Гамаля и таким образом без дополнительных вычислительных затрат во много тысяч раз увеличить сложность подделки ЭЦП. Новый вариант схемы Эль-Гамаля использует аппарат эллиптических кривых над конечным полем из р элементов, которые определяются как множество пар чисел (х, у) (каждое из них лежит в интервале от 0 до p-1), удовлетворяющих сравнению (числа, а и b фиксированы и соответствуют некоторому дополнительному условию): y2 = x3 + ax + b mod p. Новый закон базируется на процедурах выработки и проверки подписи на основе математического аппарата эллиптических кривых. Предварительно были подтверждены его высокие криптографические качества, гарантирующие, при сохранении в тайне закрытого ключа подписи, невозможность ее подделки в течение нескольких десятков лет, даже с учетом развития вычислительной техники и соответствующих математических алгоритмов.

Несколько слов о защите данных при применении Web-сервисов XML. В последнее время при разработке корпоративных приложений все чаще рассматривается возможность применения в подобных проектах Web-сервисов XML. Из новых стандартов безопасности в этой области следует в первую очередь отметить появившуюся осенью 2002 года спецификацию стандарта WS-Security, разработанную компаниями Microsoft, IBM и BEA и позволяющую осуществлять безопасный обмен SOAP-сообщениями. Стандарт WS-Security описывает расширения для SOAP-сообщений, связанные с поддержкой цифровой подписи, шифрования, целостности и конфиденциальности сообщений, аутентификации. Этот стандарт — один из нескольких, положенных в основу архитектуры Global XML Architecture (GXA), которая использует расширения спецификации SOAP и описывает принципы и спецификации протоколов для стандартов в области создания Web-сервисов XML. В конце декабря компании Microsoft, IBM, BEA, RSA Security, SAP и VeriSign объявили о новой группе стандартов, работа над которыми ведется в настоящее время. Среди них — стандарт WS-Trust, описывающий правила установки доверительных отношений между поставщиками и потребителями Web-сервисов, стандарт WS-SecureConversation, определяющий правила установки защищенного контекста для участников, обменивающихся множественными SOAP-сообщениями, и стандарт WS-SecurityPolicy, описывающий политики безопасности, которые могут быть ассоциированы с Web-сервисом.

Ссылки

Электронная цифровая подпись XML-документов (спецификации W3C)

Спецификация «XML — Signature Syntax and Processing» —

http://www.w3. org/TR/xmldsig-core/

Спецификация «Canonical XML» —

http://www.w3.org/TR/xml-c14n/

Другие документы о ЭЦП от W3C —

http://www.w3.org/Signature/

Шифрование XML-документов (спецификации W3C)

Рабочая группа W3C по шифрованию —

http://www.w3. org/Encryption/2001/

Спецификация «XML — Encryption Syntax and Processing» —

http://www.w3. org/TR/xmlenc-core/

Пакеты (реализации) защиты XML

XML Security Suite (IBM) —

http://www.alphaworks.ibm.com/tech/xmlsecuritysuite/

XML Security (Apache) —

http://xml.apache.org/security/

XML Signature SDK (Verisign) —

http://www.xmltrustcenter.org/xmlsig/developer/verisign/index.htm

Другие ресурсы Информация об Oracle XML-SQL Utility —

http://otn.oracle.com/tech/xml/xdk_java/content.html

Спецификации SAML —

http://www.oasis-open.org/committees/security/

Спецификация XKMS —

http://www.w3.org/TR/xkms/

Федеральный закон «Об электронной цифровой подписи» —

http://www.internet-law.ru/intlaw/laws/ecp.htm