Русский   English
ДонНТУ   Портал магістрів

Реферат за темою випускної роботи

Зміст

Вступ

Широке впровадження автоматизованих систем управління вимагає підвищеної уваги до захисту технологій що застосовуються для автоматизації управління інформацією і безпосередньо інформації. Приймальна комісія ДонНТУ щорічно виконує роботу по організації прийому документів від осіб, які вступають до навчального закладу.

Система типу АСУ забезпечує оперативність управління, економію часу і людської праці під час подачі документів абітурієнтами на вступ, що в значній мірі впливає на ефективність приймальної комісії.

Перекручення або фальсифікація, знищення або розголошення певної частини інформації, а також дезорганізація процесів її обробки і передачі в інформаційно-керуючих системах завдають серйозної матеріальної і моральної шкоди.

Виникає необхідність в тому, щоб конфіденційна і персональна інформація була б легко доступна для користувача і в той же час надійно захищена.

1. Актуальність теми

Актуальність проблеми захисту АСУ в сучасних умовах визначається наступними факторами:

2. Мета і задачі дослідження та заплановані результати

Метою магістерської дисертації є дослідження і розробка ефективних рішень щодо захисту інформації АСУ приймальної комісії ДонНТУ, яка включає в себе: шифрування персональних даних, аутентифікацію і можливість розмежування прав доступу до конфіденційної інформації між співробітниками.

Створене рішення повинно забезпечити захист персональних даних від читання і несанкціонованого доступу всередині однієї організації, а обраний метод шифрування повинен мати високу швидкість роботи і високу ступінь захисту.

Для досягнення даної мети необхідно виконання наступних завдань:

  1. Огляд архітектури АСУ;
  2. Аналіз існуючих баз даних;
  3. Аналіз існуючих алгоритмів шифрування;
  4. Розробка моделей, методів і алгоритмів засобів захисту інформації в АСУ приймальної комісії.

Передбачувана новизна даної роботи полягає в розробці нового алгоритму безпечної передачі інформації, орієнтованого на використання в АСУ приймальної комісії ДонНТУ, який дозволить усунути деякі уразливості і недоліки існуючих рішень.

ППлановані результати: як результатів даної роботи планується проектування та реалізація нового алгоритму безпечної передачі інформації в АСУ приймальної комісії ДонНТУ на основі аналізу використовуваних в даний час алгоритмів, реалізація тестової системи, що використовує розроблений алгоритм.

3. Огляд досліджень та розробок

3.1 Огляд міжнародних джерел

Існує безліч джерел, присвячених захисту інформації. Так, в статті Network Security for Client-Server Architecture Using Wiretap Codes [1] ппропонуються методи забезпечення безпеки для обміну даними між клієнтом і сервером. Отримано і проаналізовано верхні і нижні межі оптимальної секретності.

У статті Security concept in web database development and administration - A review perspective У статті Security concept in web database development and administration - A review perspective [2] представлений огляд двадцяти загроз безпеки баз даних, які можна застосувати до веб-додатків.

У статті Man-in-the-middle attack in wireless and computer networking - A review [3] MITM-атаки поділяються на чотири категорії, а саме: спуфинг на основі MITM, TLS / SSL MITM, BGP MIT M і MITM-атака на основі неправдивої базової станції і розібрані механізми запобігання наведених атак.

У статті A Performance Comparison of Data Encryption Algorithms [4] були реалізовані чотири популярних алгоритму шифрування з секретним ключем: DES, 3DES, AES (Rijndael) і Blowfish. Їх продуктивність порівнюється шляхом шифрування вхідних файлів різного вмісту і розмірів. Алгоритми були реалізовані на одній мові з використанням їх стандартних специфікацій, щоб забезпечити справедливе порівняння.

Стаття Comparative analysis of different techniques of encryption for secured data transmission [5] присвячена порівнянню часто використовувані алгоритмів шифрування. Це порівняння виконано на основі часу, витраченого на шифрування і дешифрування даних, ефективності з точки зору безпеки, використання пам'яті, енергоспоживання і затримки.

3.2 Огляд національних джерел

Серед національних джерел безліч публікацій також присвячено захисту інформації. Стаття Руководство по шифрованию данных на PHP [6] присвячена організації шифрування на PHP. У статті Тестирование скорости алгоритмов шифрования в PHP [7] представлено порівняння основних алгоритмів шифрування на мові PHP за швидкістю їх виконання.

У статті Криптографические атаки: объяснение для смятённых умов [8] розглянуті різні типи криптографічних атак, з акцентом на основні принципи.

3.3 Огляд локальних джерел

У роботі Исследование методов и средств защиты информации системы предприятия от несанкцианированного доступа[9] Джура Г.С. Описав методи і засоби забезпечення захищеного доступу до даних, корпоративної інформаційної системи. У статті Разработка и исследование способов оптимизации криптографических алгоритмов методами SAT Solver[10] Ипполитов В.А. наводиться аналіз існуючих алгоритмів шифрування на можливість їх оптимізації і поліпшення, таких показників алгоритму, як стійкість або швидкість виконання.

4. Огляд архітектури АСУ

Програмний комплекс Приймальної комісії ДонНТУ являє собою систему автоматизації роботи операторів, членів приймальної комісії, представників деканатів та інших служб університету в період вступної кампанії. Він будується на базі архітектури клієнт-сервер. Клієнт - сервер - це обчислювальна або мережева архітектура, в якій завдання або мережева навантаження розподілені між постачальниками послуг, званими серверами, і замовниками послуг, званими клієнтами [11]. Можливості доступу клієнта, до тих чи інших мережевих сервісів, характеризуються поняттям товщини. Воно визначає конфігурацію устаткування і програмне забезпечення, що є у клієнта. Переваги тонкого клієнта, перед товстим, є більш важливими, по відношенню до завдань, що стоять перед програмним комплексом приймальної комісії [12]. Д]. Для роботи тонкого клієнта досить лише комп'ютера з браузером, в вікні якого і здійснюються робота з веб-додатком. У найбільш загальному вигляді процес запит - відповідь складається з прохання браузера до веб-сервера відправити йому веб-сторінку і виконання цього прохання [13]. З цієї причини браузер часто називають універсальним клієнтом. Основною мовою веб-клієнта є HTML в поєднанні з CSS і JavaScript. Для написання серверної логіки, яка здатна відображати необхідний HTML і обробляти дані, використовується мова сценаріїв PHP. Для забезпечення захисту при передачі даних між клієнтом і сервером, потрібне забезпечення безпеки на транспортному рівні, куди зазвичай входять HTTPS, TLS і SSL.

Основні завдання заходів захисту [14]:

Система управління базами даних вибиралася відповідно до критеріїв, що висуваються до організації зберігання і роботи з даними про абітурієнтів, а саме:

  1. Можливість зберігати в комірці таблиці набір декількох об'єктів.
  2. Можливість організації процедур, що виконуються на рівні сервера для мінімізації часу виконання запитів до бази даних.
  3. У зв'язку з винятковою важливістю інформації, що зберігається, необхідність забезпечення максимального захисту даних.
  4. Забезпечення розмежування доступу до таблиць для різних користувачів.
  5. Можливість створювати код, який буде викликатися автоматично СУБД у відповідь на певні події.
  6. Можливість зберігати вибірку з декількох таблиць як віртуальну таблицю.

Проаналізувавши п'ять найпопулярніших СУБД, згідно з рейтингом ресурсу DB-Engines, можна зробити висновок, що вимогам, що пред'являються до СУБД програмного комплексу Приймальної комісії, найбільш повно задовольнять дві з них - Oracle і PostgreSQL. Однак у СУБД PostgreSQL є одна істотна перевага - PostgreSQL Pro сертифікована ФСТЕК Росії [15].

5. Аналіз існуючих алгоритмів шифрування

ККриптографія - це наука, метою якої є, забезпечення конфіденційності і цілісності інформації. Шифрування інформації - процес перетворення відкритої інформації в зашифровану - шифротекст або криптограма, і навпаки [16 ]. Відкрито текст - це оригінальний текст або повідомлення, яке передається одержувачу. Шіфротекст - це не що інше, як зашифрований текст, який не може бути розшифрований без секретного ключа. Відкритий текст перетворюється в шифротекст за допомогою математичних обчислення, які визначені в алгоритмі. Секретний ключ для шифрування і розшифровки повідомлень, може бути, як однаковим, так і різним. Процес злому зашифрованого тексту, відомий як криптоаналіз.

Існує три основних типи алгоритмів шифрування:

  1. Симетричні;
  2. Асиметричні;
  3. Хеш-функції.

Конфіденційність інформації забезпечується симетричними і асиметричними алгоритмами шифрування. Цілісність інформації та автентичність сторін досягається використанням хеш-функцій.

Симетричні алгоритми - це алгоритми шифрування, в яких ключ шифрування може бути розрахований по ключу дешифрування і навпаки. Безпека симетричного алгоритму визначається ключем, розкриття ключа означає, що хто завгодно зможе шифрувати і дешифрувати повідомлення. Симетричні алгоритми діляться на дві групи: потокові і блокові.

Схема симетричного шифрування

Рисунок 1 – Схема симетричного шифрування

Основне призначення симетричних алгоритмів - шифрування великих масивів даних з великою швидкістю. Симетричні шифри:

В асиметричних алгоритмах ключ, який використовується для шифрування, відрізняється від ключа дешифрування і ключ дешифрування не може бути розрахований по ключу шифрування. Відкритий ключ - використовується відправником для шифрування даних, який може вільно поширюватися, тоді як закритий ключ, є секретним і потрібен для розшифровки. Основне призначення асиметричних алгоритмів шифрування - забезпечення ефективного функціонування сучасних криптосистем. Наприклад, вони використовуються для обміну ключами і перевірки їх достовірності. Асиметричні шифри:

Криптографічний хеш-функція - це функція, певна на бітових рядках довільної довжини зі значеннями в рядках бітів фіксованої довжини [17]. Існує два види криптографічних хеш-функцій - ключові і безключового. Ключові хеш-функції дозволяють без додаткових засобів гарантувати як правильність джерела даних, так і цілісність даних в системах з довіряють один одному користувачами. Безключового хеш-функції називаються кодами виявлення помилок. Вони дають можливість за допомогою додаткових коштів (шифрування, наприклад) гарантувати цілісність даних. Ці хеш-функції можуть застосовуватися в системах як з доверяющими, так і не довіряють один одному користувачами.

Найбільш поширеними хеш-функцій використовуваними в системах захисту пароля користувача, є такі алгоритми:

Кращий ефект досягається при комбінації різних видів шифрування. Так, наприклад, протокол SSL використовує як асиметричну, так і симетричну криптографію. За допомогою асиметричного алгоритму відбувається взаємна аутентифікації клієнта і сервера і відсилається сесійний ключ для симетричного шифрування, після чого відбувається обмін даними по симетричному алгоритму.

Принцип роботи SSL протоколу

Рисунок 2 – Принцип роботи SSL протоколу
(анімація: 50 кадрів, 5 циклів повторення, 52 кілобайт)

6. Аналіз криптографічних атак

Криптоаналіз - це наука отримання відкритого тексту, не маючи ключа. Успішно проведене криптоаналіз може розкрити відкритий текст або ключ. Він також може виявити слабкі місця в криптосистемах, що врешті-решт призведе до попереднього результату [18]. Проаналізувавши різні типи шифрування, слід розглянути різні типи криптографічних атак.

Існує два типи атак - пасивні атаки и активні атаки. Отримання атакуючим даних без помітного впливу на систему - простою приклад пасивної атаки. Пасивні атаки не так шкідливі, так як не викликають зміни або модифікації даних. Активні атаки призводять до зміни даних або поведінки системи і, очевидно, набагато більш небезпечні, ніж пасивні атаки. Приклади криптографічних атак:

  1. Атака методом грубої сили — злом пароля шляхом перебору всіх можливих варіантів ключа. Її особливістю є можливість застосування проти будь-якого практично використовуваного шифру [19]. Цей метод недоцільно використовувати для атаки сучасних систем шифрування, так як будуть потрібні нереалістичні тимчасові та ресурсні витрати.
  2. Атака по часу - заснована на припущенні, що різні операції виконуються за різний час, в залежності від поданих вхідних даних. Таким чином, вимірюючи час обчислень і проводячи статистичний аналіз даних, можна отримати повну інформацію про секретний ключі. Найбільш ефективний підхід при боротьбі з таким видом атак, полягає в тому, щоб зробити вимірювання часу настільки неточними, щоб атака стала неефективною. Наприклад, в програмному коді можна прописати тимчасові затримки, які матимуть випадкову довжину.
  3. Атака на основі текстів - зловмиснику відомі тільки різні зашифровані повідомлення, які шифрувалися з використанням одного і того ж алгоритму шифрування. Завдання зловмисника - визначити «ключ», який потім можна буде використовувати для розшифровки всіх повідомлень. Даний варіант відповідає моделі зовнішнього порушника, який має фізичний доступ до лінії зв'язку, але не має доступ до апаратури шифрування.
  4. Атака на основі відкритих текстів - зловмиснику відомі деякі фрагменти відкритого і зашифрованого тексту. Виходячи з яких за допомогою зворотного інжинірингу обчислюється ключ. Даний метод криптоаналізу був ефективний проти простих шифрів, таких як шифр заміщення, але для злому сучасних шифрів він неефективний.
  5. Атака посередника - вид атаки в криптографії, заснований на тому, що зловмисник підключається до каналу передачі даних, тим самим порушуючи криптографічний протокол [20]. Він може активно втручатися в алгоритм передачі і видавати себе за одного з одержувачів [21]. Способи захисту від даного виду атак, є правильно сконфігуровані протоколи шифрування, такі як SSL / TLS.
  6. Атака повторного відтворення - вид мережевої атаки, при якій зловмисник отримує деяку інформацію (наприклад, інформацію про аутентифікації) і повторно передає її одержувачу. Це дозволяють зловмисникові використовувати незмінну інформація, таку як пароль, для імітації автентичності. Основна ідея при захисті від атак повторного відтворення полягає в тому, що кожна сесія аутентифікації повинна використовувати оригінальні параметри (мітка часу і життя ключа або випадково число).

Висновки

Проведений аналіз дозволяє зробити висновок про те, що питання безпеки АСУ приймальної комісії мають першорядне значення і повинні ретельно продумувати. Сучасні засоби шифрування, здатні забезпечити досить надійний захист, але обов'язково повинні використовуватися як складова комплексного підходу до захисту інформації. Так само важлива адекватна міра шифрування, що означає вибір на користь непомітного в роботі, швидкого алгоритму без об'єктивних ризиків розкриття даних. При цьому сучасні алгоритми можуть бути вдосконалені для посилення їх стійкості до можливих атак.

Вдосконалення існуючих методів захисту інформації, дозволить підвищити загальну надійність АСУ, усунути інцючі уразливості і забезпечити безпечний обмін інформацією.

Перелік посилань

  1. Network Security for Client-Server Architecture Using Wiretap Codes // IEEE Xplore Digital Library. [Электронный ресурс]. – Режим доступа:https://ieeexplore.ieee.org/...
  2. Security concept in web database development and administration — A review perspective // IEEE Xplore Digital Library. [Электронный ресурс]. – Режим доступа:https://ieeexplore.ieee.org/...
  3. Man-in-the-middle attack in wireless and computer networking — A review // IEEE Xplore Digital Library. [Электронный ресурс]. – Режим доступа:https://ieeexplore.ieee.org/...
  4. A Performance Comparison of Data Encryption Algorithms // IEEE Xplore Digital Library. [Электронный ресурс]. – Режим доступа:https://ieeexplore.ieee.org/...
  5. Comparative analysis of different techniques of encryption for secured data transmission // IEEE Xplore Digital Library. [Электронный ресурс]. – Режим доступа:https://ieeexplore.ieee.org/...
  6. Руководство по шифрованию данных на PHP // Хабрахабр. [Электронный ресурс]. – Режим доступа:https://habr.com/...
  7. Тестирование скорости алгоритмов шифрования в PHP // Хабрахабр. [Электронный ресурс]. – Режим доступа:https://habr.com/...
  8. Криптографические атаки: объяснение для смятённых умов // Хабрахабр. [Электронный ресурс]. – Режим доступа:https://habr.com/...
  9. Исследование методов и средств защиты информации системы предприятия от несанкцианированного доступа. [Электронный ресурс]. – Режим доступа:http://masters.donntu.ru/...
  10. Разработка и исследование способов оптимизации криптографических алгоритмов методами SAT Solver. [Электронный ресурс]. – Режим доступа:http://masters.donntu.ru/...
  11. Бройдо, В. Л. Вычислительные системы, сети и телекоммуникации / В.Л. Бройдо, О.П. Ильина. - М.: Питер, 2016. - 560 c.
  12. Исаков А.Ю., Чередникова О.Ю., Щедрин С.В., Ногтев Е.А. Технологии клиент-серверного взаимодействия в АСУ приемной комиссии ДонНТУ [Электронный ресурс] / А.Ю. Исаков, О.Ю. Чередникова, С.В. Щедрин, Е.А. Ногтев // 69-я МЕЖДУНАРОДНАЯ СТУДЕНЧЕСКАЯ НАУЧНО-ТЕХНИЧЕСКАЯ КОНФЕРЕНЦИЯ (Астрахань, 15–19 апреля 2019 года) : материалы (тез. докл., сб. ст.). – Астрахань : Изд-во АГТУ, год. – Режим доступа : 1 CD-диск. – № гос. 0321902694
  13. Никсон, Р. Создаем динамические веб-сайты с помощью PHP, MySQL, JavaScript, CSS и HTML5 / Р. Никсон. - М.: Питер, 2017. - 698 c.
  14. Книга Безопасность в PHP (часть 4). Недостаток безопасности на транспортном уровне (HTTPS, TLS и SSL) // Хабрахабр. [Электронный ресурс]. – Режим доступа:https://habr.com/...
  15. Чередникова О.Ю., Щедрин С.В., Ногтев Е.А., Исаков А.Ю. (Донецк, ДонНТУ) ВЫБОР СИСТЕМЫ УПРАВЛЕНИЯ БАЗАМИ ДАННЫХ ДЛЯ ПРОГРАММНОГО КОМПЛЕКСА ПРИЕМНОЙ КОМИССИИ ДОННТУ // Программная инженерия: методы и технологии разработки информационновычислительных систем (ПИИВС-2018): сборник научных трудов II Международной научно-практической конференции, Том. 1. 14-18 ноября 2018 г. – Донецк, ГОУВПО Донецкий национальный технический университет, 2018. — с.120–126.
  16. Панасенко С.П. Алгоритмы шифрования [Текст]/ С.П. Панасенко. – Спб.: БХВ-Петербург, 2009. – 576 с.
  17. Смарт, Н. Криптография / Н. Смарт. - М.: Техносфера, 2015. - 528 c.
  18. Брюс Шнайер Прикладная криптография. Протоколы, алгоритмы и исходный код на C / Брюс Шнайер. - М.: Вильямс, 2016. - 842 c.
  19. Preneel B. Understanding cryptography: a textbook for students and practitioners / B. Preneel, C. Paar, J. Pelzl. — Springer, 2010. — P. 1292.
  20. Тилборг, Х. К. ван А. ван Тилборг Основы криптологии. Профессиональное руководство и интерактивный учебник (+ CD-ROM) / Х. К. Тилборг А. ван ван Тилборг. - М.: Мир, 2006. - 472 c.
  21. Брассар, Ж. Современная криптология. Руководство. / Ж. Брассар. - М.: Полимед, 1999. - 176 с.