Хищение информации из баз данных: некоторые способы борьбы с ними

 

Криптография  предполагает наличие трех компонент: данных, ключа связи и криптографического преобразования.

При зашифровании исходными данными будет сообщение, а результирующими - зашифрованное сообщение. При расшифровании они меняются местами.

 

Ключ - конкретное секретное состояние некоторых  параметров алгоритма криптографического преобразования данных. В данном случае термин "ключ" означает уникальный битовый шаблон. Считается, что правила  криптографического преобразования известны всем, но, не зная ключа, с помощью  которого пользователь закрыл смысл  сообщения, требуется потратить  невообразимо много усилий на восстановление текста сообщения. Длина ключа, согласно ГОСТ 28147-89, равна 256 бит.

 

В средствах  криптографической защиты информации (СКЗИ) "Верба" ключевая система  организована по принципу полной матрицы. Это означает, что формируется  матрица, которая содержит все секретные  ключи связи, и каждый j-ый абонент получает j-ую строку из этой матрицы, и использует i-ый элемент этой строки при зашифровании/расшифровании в качестве секретного ключа связи с i-ым абонентом.

 

В СКЗИ "Верба" используется определенный ГОСТ 28147-89 симметричный алгоритм криптографического преобразования данных в режиме гаммирования, который подразумевает процесс наложения по определенному закону гаммы шифра на открытые данные (под гаммой понимается псевдослучайная двоичная последовательность, вырабатываемая по заданному алгоритму). ГОСТ 28147-89 также определяет процесс выработки имитовставки, который единообразен для любого из режимов шифрования данных. Имитовставка - это последовательность данных фиксированной длины, которая вырабатывается по определенному правилу из открытых данных и ключа либо перед шифрованием сообщения, либо параллельно с шифрованием. Имитовставка передается по каналу связи или в память ЭВМ после зашифрованных данных. Выработка имитовставки обеспечивает защиту от навязывания ложных данных, вероятность необнаружения которого зависит от длины имитовставки и равна 10-9. Поступившие зашифрованные данные расшифровываются, и из полученных блоков данных вырабатывается новая имитовставка, которая затем сравнивается с имитовставкой, полученной из канала связи или из памяти ЭВМ. В случае несовпадения имитовставок все расшифрованные данные считаются ложными. 

Методы противодействия  типовым угрозам

Угроза	Противодействие	Метод
Хищение информации из БД неуполномочен¬ным пользователем	Шифрование базы данных и ролевое  управление доступом	Установка системы управления доступом по цифровым сертификатам, шифрование критических сегментов базы
Хищение информации из БД со стороны  легального пользователя (превышение полномочий)	Ролевое управление, подробный аудит	Аутентификация и дополнительный мониторинг действий пользователя (не средствами СУБД)
Хищение или использование чужой  учетной записи (из-за отсутствия защиты учетной записи), например, системного администратора	Аутентификация по цифровому сертификату	Использование механизма SSL-аутентификации
Использование известных паролей, установленных  по умолчанию (если они не были переустановлены  пользователем) Хищение пароля (например, с помощью снифера - ПО для перехвата вводимых паролей) Подбор пароля (например, методом перебора по словарю) Перехват пароля во время передачи по сети Взлом пароля ключевого контейнера (wallet).	Аутентификация по цифровому сертификату	Отказ от использования паролей, переход  на SSL-аутентификацию с использованием сертификатов
Хищение или копирование ключевого  контейнера или его резервной  копии	Закрытый ключ хранится как не экспортируемый в защищенной памяти интеллектуальной смарт-карты	Использование смарт-карт технологий для  безопасного хранения закрытых ключей
Перехват закрытого ключа (в момент его использования с помощью специального ПО)	Аппаратная реализация криптографических операций в смарт-карте	Использование смарт-карт технологий для аппаратного выполнения криптографических операций (SSL) в процессоре смарт-карты без «выхода» закрытых ключей наружу
Дублирование смарт-карты (копирование  закрытых ключей в другой токен)	Доступ к защищенной памяти смарт-карты, в которой хранятся закрытые ключи, защищен PIN-кодом. Экспорт закрытых ключей из смарт-карты исключен	Закрытые ключи, сгенерированные  смарт-картой или импортированные  в нее, хранятся в закрытой памяти смарт-карты и не могут быть из нее извлечены (международные сертификаты  безопасности ITSEC Level E4, FIPS 140-1 - Level 2, 3)
Перехват передаваемых по сети данных	Шифрование сетевого трафика	Использование SSL-протокола для шифрования передаваемых по сети данных с помощью встроенных в Oracle алгоритмов симметричного шифрования

 

Для минимизации риска потерь необходима реализация комплекса нормативных, организационных и технических  защитных мер, в первую очередь: введение ролевого управления доступом, организация  доступа пользователей по предъявлению цифрового сертификата, а в ближайшей  перспективе - промышленное решение  по выборочному шифрованию и применение алгоритмов ГОСТ для шифрования выбранных  сегментов базы. 

 

Для полного решения проблемы защиты данных администратор безопасности должен иметь возможность проводить  мониторинг действий пользователей, в  том числе с правами администратора. Поскольку штатная система аудита не имеет достаточных средств  защиты, необходима независимая система, защищающая корпоративную сеть не только снаружи, но и изнутри. В будущем  должны также появиться типовые.

 

 

 

 

 

 

Продукты, обеспечивающие защиту от хищения  информации

• Многофункциональные устройства адаптивной защиты ASA 5500 Series Adaptive Security Appliances для обеспечения безопасности
• Коммутаторы Catalyst для интегрированных в маршрутизатор/коммутатор сервисов VPN
• Cisco Clean Access для подтверждения достоверности
• Cisco Security Agent для защиты конечных узлов
• Датчики IPS 4200 Series Sensors для предотвращения вторжений
• Модули PIX 500 Series Security Appliances для устройств VPN
• Маршрутизаторы для интегрированных в маршрутизатор/коммутатор сервисов VPN
• Secure Access Control Server для управления процессом идентификации
• Концентраторы VPN 3000 Series Concentrators для устройств VPN

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

Заключение

В заключении можно сказать, что для минимизации риска потерь необходима реализация комплекса нормативных, организационных и технических защитных мер, а именно: введение ролевого управления доступом, организация доступа пользователей по предъявлению цифрового сертификата, а в ближайшей перспективе – промышленное решение по выборочному шифрованию и применение алгоритмов стандарта для шифрования выбранных сегментов базы.

Для полного решения проблемы защиты данных администратор безопасности должен иметь возможность проводить  мониторинг действий пользователей, в  том числе с правами администратора. Поскольку штатная система аудита не имеет достаточных средств  защиты, необходима независимая система, защищающая корпоративную сеть не только снаружи, но и изнутри. В будущем  должны также появиться типовые  методики комплексного решения задачи защиты баз данных для предприятий  разного масштаба – от мелких до территориально-распределенных.