Министерство образования и науки РФ новосибирский государственный университет физический факультет Кафедра физико-технической информатики проблемы безопасности в информационных технологиях (курс лекций)

Классификация возможностей проникновения в систему и утечек информации

• 
  акустическое излучение информативного речевого сигнала;
  
• 
  электрические сигналы, возникающие при преобразовании информативного сигнала из акустического в электрический (микрофонный эффект) и распространяющиеся по проводам и линиям, выходящими за пределы контролируемой зоны (пространство – территория, здание, часть здания – в котором исключено неконтролируемое пребывание лиц, не имеющих постоянного или разового допуска, и посторонних транспортных средств);
  
• 
  виброакустические сигналы, возникающие посредством преобразования информативного акустического сигнала при воздействии его на строительные конструкции и инженерно-технические коммуникации защищаемых помещений (например, на оконные стёкла);
  
• 
  несанкционированный доступ и несанкционированные действия по отношению к информации в автоматизированных системах, в том числе с использованием информационных сетей общего пользования;
  
• 
  воздействие на технические или программные средства информационных систем в целях нарушения конфиденциальности, целостности и доступности информации, работоспособности технических средств, средств защиты информации посредством специально внедренных программных средств;
  

• 
  побочные электромагнитные излучения информативного сигнала от технических средств, обрабатывающих конфиденциальную информацию, и линий передачи этой информации;
  
• 
  наводки информативного сигнала, обрабатываемого техническими средствами, на цепи электропитания и линии связи, выходящие за пределы контролируемой зоны;
  
• 
  радиоизлучения, модулированные информативным сигналом, возникающие при работе различных генераторов, входящих в состав технических средств, или при наличии паразитной генерации в узлах (элементах) технических средств;
  
• 
  радиоизлучения или электрические сигналы от внедренных в технические средства и защищаемые помещения специальных электронных устройств перехвата речевой информации ("закладок"), модулированные информативным сигналом;
  
• 
  радиоизлучения или электрические сигналы от электронных устройств перехвата информации, подключенных к каналам связи или техническим средствам обработки информации;
  
• 
  прослушивание телефонных и радиопереговоров;¹
  
• 
  просмотр информации с экранов дисплеев и других средств ее отображения, бумажных и иных носителей информации, в том числе с помощью оптических средств;²
  
• 
  хищение технических средств с хранящейся на них информацией или отдельных носителей информации.
  

• 
  из-за границы контролируемой зоны из близлежащих строений и транспортных средств;
  
• 
  из смежных помещений, принадлежащих другим учреждениям (предприятиям) и расположенным в том же здании, что и объект защиты;
  
• 
  при посещении учреждения (предприятия) посторонними лицами;
  
• 
  за счет несанкционированного доступа (несанкционированных действий) к информации, циркулирующей в информационной системе, как с помощью технических средств самой системы, так и через информационные сети общего пользования.
  

Аутентификация, авторизация, аудит

• 
  субъект, который будет проходить процедуру аутентификации;
  
• 
  характеристика субъекта — отличительная черта;
  
• 
  хозяин системы аутентификации, несущий ответственность и контролирующий её работу;
  
• 
  сам механизм аутентификации, то есть принцип работы системы;
  
• 
  механизм, предоставляющий или лишающий субъекта определенных прав доступа.
  

• 
  Что-то, что мы знаем – пароль. Это секретная информация, которой должен обладать только авторизованный субъект. Паролем может быть речевое слово, текстовое слово, комбинация для замка или персональный идентификационный номер (PIN). Парольный механизм может быть довольно легко реализован и имеет низкую стоимость. Но имеет существенные минусы: сохранить пароль в секрете зачастую бывает проблематично, злоумышленники постоянно придумывают новые методы кражи, взлома и подбора пароля. Это делает парольный механизм сравнительно слабозащищённым.
  
• 
  Что-то, что мы имеем – устройство аутентификации. Здесь важен факт обладания субъектом каким-то уникальным предметом. Это может быть личная печать, ключ от замка, для компьютера это файл данных, содержащих характеристику. Характеристика часто встраивается в специальное устройство аутентификации, например, пластиковая карта, смарт-карта. Для злоумышленника заполучить такое устройство становится более проблематично, чем взломать пароль, а субъект может сразу же сообщить о случае кражи устройства. Это делает данный метод более защищённым, чем парольный механизм, однако, стоимость такой системы более высокая.
  
• 
  Что-то, что является частью нас – биометрика. Характеристикой является физическая особенность субъекта. Это может быть портрет, отпечаток пальца или ладони, голос или особенность глаза. С точки зрения субъекта, данный метод является наиболее простым: не надо ни запоминать пароль, ни переносить с собой устройство аутентификации. Однако биометрическая система должна обладать высокой чувствительностью, чтобы подтверждать авторизованного пользователя, но отвергать злоумышленника со схожими биометрическими параметрами. Также стоимость такой системы довольно велика. Но, несмотря на свои минусы, биометрика остается довольно перспективным фактором.