Mechanizmy bezpieczeństwa informacji. Czym jest kryptografia i jak jest wykorzystywana w kryptowalutach? Jak nazywa się system ochrony informacji kryptograficznej?

Badając kryptowaluty, pewnego dnia nieuchronnie natkniesz się na termin „kryptografia”. W interesującym nas obszarze kryptografia spełnia wiele funkcji. Należą do nich ochrona danych, wykorzystanie przy tworzeniu haseł, optymalizacja systemu bankowego itp. W tym artykule wprowadzimy Cię w podstawy kryptografii i omówimy jej konsekwencje dla kryptowalut.

Historia kryptografii

Kryptografia to metoda bezpiecznego ukrywania informacji. Aby ujawnić informacje, czytelnik musi wiedzieć, w jaki sposób informacje zostały zmienione lub zaszyfrowane. Jeśli wiadomość została dobrze zaszyfrowana, tylko nadawca i odbiorca mogą ją przeczytać.

Kryptografia nie jest niczym nowym; istnieje już od tysięcy lat. Historycznie rzecz biorąc, kryptografia była używana do wysyłania ważnych wiadomości w celu ukrycia ich przed wścibskimi oczami. Pierwsze wiadomości kryptograficzne odnaleziono już wśród starożytnych Egipcjan, jednak potwierdzone wykorzystanie szyfrów do celów strategicznych datuje się na epokę starożytnego Rzymu.

Według historyków Juliusz Cezar posługiwał się kryptografią, a nawet stworzył tak zwany szyfr Cezara, aby wysyłać tajne wiadomości do wysokich rangą generałów. Ta metoda ochrony poufnych informacji przed niepożądanymi oczami była stosowana do niedawnej historii.

Podczas II wojny światowej Niemcy do transmisji używali maszyny szyfrującej Enigma ważna informacja. Alan Turing, geniusz matematyczny, od którego nazwiska później nazwano Test Turinga, znalazł sposób na jego złamanie. Obecnie złamanie Enigmy uważane jest za jeden z głównych punktów zwrotnych II wojny światowej.

Podstawy kryptografii

Wspomniany powyżej szyfr Cezara jest jednym z najprostszych sposobów szyfrowania wiadomości i jest przydatny do zrozumienia kryptografii. Nazywa się go również szyfrem przesuwnym, ponieważ zastępuje oryginalne litery wiadomości innymi literami, które znajdują się na określonej pozycji w stosunku do oryginalnej litery alfabetu.

Na przykład, jeśli zaszyfrujemy wiadomość przy użyciu szyfru +3 w język angielski, to A stanie się D, a K stanie się N. Jeśli zastosujemy regułę -2, wówczas D stanie się B, a Z stanie się X.

przeczytaj wszystko na temat inwestowania w blockchain

To najprostszy przykład wykorzystania kryptografii, ale każda inna metoda opiera się na podobnej logice. Istnieje wiadomość, która jest tajna dla wszystkich z wyjątkiem zainteresowanych stron, oraz proces, dzięki któremu ta wiadomość jest nieczytelna dla wszystkich oprócz nadawcy i odbiorcy. Proces ten nazywa się szyfrowaniem i składa się z dwóch elementów:

Szyfr to zestaw reguł używanych do kodowania informacji. Na przykład przesunięcie X liter w alfabecie w przykładzie szyfru Cezara. Szyfr nie musi być tajny, ponieważ wiadomość można odczytać tylko wtedy, gdy dostępny jest klucz.

Klucz to wartość opisująca dokładnie sposób użycia zestawu reguł szyfrowania. W przypadku szyfru Cezara będzie to liczba liter, które należy przesunąć w kolejności alfabetycznej, na przykład +3 lub -2. Klucz to narzędzie służące do odszyfrowania wiadomości.

Tak wiele osób może mieć dostęp do tego samego szyfru, ale bez klucza i tak nie będą w stanie go złamać.

Proces przesyłania tajnej wiadomości wygląda następująco:

Strona A chce wysłać wiadomość do Strony B, ale ważne jest dla niej, aby nikt inny jej nie przeczytał;
Strona A używa klucza do konwersji tekstu na zaszyfrowaną wiadomość;
Strona B otrzymuje zaszyfrowany tekst;
Strona B używa tego samego klucza do odszyfrowania tekstu zaszyfrowanego i może teraz odczytać wiadomość.

Ewolucja kryptografii

Wiadomości są szyfrowane w celu ochrony ich zawartości. Oznacza to, że zawsze będą strony zainteresowane uzyskaniem takich informacji. W miarę jak ludzie odnoszą coraz mniejsze lub większe sukcesy w odszyfrowywaniu różnych kodów, kryptografia zmuszona jest się dostosować. Współczesna kryptografia wykracza daleko poza zwykłe przesuwanie liter w alfabecie, oferując złożone zagadki, które z roku na rok stają się coraz trudniejsze do rozwiązania. Zamiast banalnego przemieszczenia litery można teraz zastąpić cyframi, innymi literami i różnymi symbolami, przechodząc przez setki i tysiące etapów pośrednich.

Era cyfrowa doprowadziła do wykładniczego wzrostu złożoności szyfrowania. Dzieje się tak dlatego, że komputery przyniosły ze sobą dramatyczny wzrost mocy obliczeniowej. Ludzki mózg jest nadal najbardziej złożonym systemem informacyjnym, ale jeśli chodzi o wykonywanie obliczeń, komputery są znacznie szybsze i mogą przetworzyć znacznie więcej informacji.

Kryptografia era cyfrowa związany z elektrotechniką, informatyką i matematyką. Obecnie wiadomości są zazwyczaj szyfrowane i odszyfrowywane przy użyciu złożonych algorytmów tworzonych przy użyciu kombinacji tych technologii. Jednak niezależnie od tego, jak silne jest szyfrowanie, zawsze znajdą się ludzie, którzy będą pracować nad jego złamaniem.

Złamanie kodu

Możesz zauważyć, że nawet bez klucza szyfr Cezara nie jest trudny do złamania. Każda litera może przyjąć tylko 25 różne znaczenia, a dla większości wartości komunikat jest bez znaczenia. Metodą prób i błędów powinieneś być w stanie rozszyfrować wiadomość bez większego wysiłku.

Łamanie szyfrowania przy użyciu wszystkich możliwych odmian nazywa się brutalną siłą. brutalna siła). Takie hakowanie polega na wybieraniu wszystkich możliwych elementów, aż do znalezienia rozwiązania. Wraz ze wzrostem mocy obliczeniowej brutalna siła staje się coraz bardziej realnym zagrożeniem. jedyny sposób których ochrona polega na wzroście złożoności szyfrowania. Im więcej możliwych kluczy, tym trudniej jest uzyskać dostęp do danych metodą brute-force.

Nowoczesne szyfry pozwalają na użycie bilionów możliwych kluczy, dzięki czemu brutalna siła jest mniej niebezpieczna. Argumentuje się jednak, że superkomputery, a zwłaszcza komputery kwantowe, wkrótce będą w stanie złamać większość szyfrów przy użyciu brutalnej siły ze względu na ich niezrównaną moc obliczeniową.

Jak już wspomniano, z biegiem czasu odszyfrowanie wiadomości staje się coraz trudniejsze. Ale nic nie jest niemożliwe. Każdy szyfr jest nieodłącznie powiązany ze zbiorem reguł, które z kolei można analizować. Analizę reguł przeprowadza się za pomocą bardziej subtelnej metody deszyfrowania wiadomości – analizy częstotliwości.

Przy ogromnej złożoności szyfrów obecnie skuteczną analizę częstotliwości można przeprowadzić wyłącznie przy użyciu komputerów, ale nadal jest to możliwe. Ta metoda analizuje powtarzające się zdarzenia i próbuje znaleźć klucz na podstawie tych informacji.

Aby to zrozumieć, spójrzmy jeszcze raz na przykład szyfru Cezara. Wiemy, że litera E jest używana znacznie częściej niż inne litery alfabetu łacińskiego. Kiedy zastosujemy tę wiedzę do zaszyfrowanej wiadomości, zaczynamy szukać litery, która powtarza się najczęściej. Odkrywamy, że najczęściej używana jest litera H i sprawdzamy nasze przypuszczenia, stosując do wiadomości przesunięcie -3. Im dłuższy komunikat, tym łatwiej zastosować do niego analizę częstotliwości.

Kryptografia i kryptowaluty

Większość kryptowalut służy zupełnie innym celom niż wysyłanie tajnych wiadomości, ale mimo to kryptografia odgrywa tutaj kluczową rolę. Okazuje się, że tradycyjne zasady kryptografii i narzędzia do niej wykorzystywane mają więcej funkcji, niż zwykliśmy sądzić.

Najważniejszymi nowymi funkcjami kryptografii są haszowanie i podpisy cyfrowe.

Haszowanie

Haszowanie to kryptograficzna metoda konwersji dużych ilości danych na krótkie wartości, które trudno podrobić. Jest to kluczowy element technologii blockchain dotyczący bezpieczeństwa i integralności danych przepływających przez system.

Metodę tę stosuje się głównie w czterech procesach:

weryfikacja i potwierdzanie sald w portfelach użytkowników;
kodowanie adresów portfeli;
kodowanie transakcji pomiędzy portfelami;
wydobywanie bloków (dla kryptowalut, które oferują taką możliwość) poprzez tworzenie zagadek matematycznych, które należy rozwiązać, aby wydobyć blok.

Podpisy cyfrowe

Podpis cyfrowy jest w pewnym sensie odpowiednikiem Twojego prawdziwego podpisu i służy do potwierdzenia Twojej tożsamości w Internecie. Jeśli chodzi o kryptowaluty, podpisy cyfrowe reprezentują funkcje matematyczne, które są powiązane z konkretnym portfelem.

Zatem podpisy cyfrowe są rodzajem sposobu cyfrowej identyfikacji portfela. Dołączając do transakcji podpis cyfrowy, właściciel portfela udowadnia wszystkim uczestnikom sieci, że transakcja pochodzi od niego, a nie od kogokolwiek innego.

Podpisy cyfrowe wykorzystują kryptografię do identyfikacji portfela i są w tajemnicy powiązane z kluczami publicznymi i prywatnymi portfela. Twój klucz publiczny jest jak konto bankowe, a klucz prywatny to Twój PIN. Nie ma znaczenia, kto zna numer Twojego konta bankowego, ponieważ jedyne, co może z nim zrobić, to wpłacić pieniądze na Twoje konto. Jeśli jednak znają Twój PIN, możesz mieć poważne kłopoty.

W blockchainie klucze prywatne służą do szyfrowania transakcji, a klucz publiczny służy do jej odszyfrowania. Jest to możliwe, ponieważ za transakcję odpowiada strona wysyłająca. Strona wysyłająca szyfruje transakcję swoim kluczem prywatnym, jednak można ją odszyfrować przy pomocy klucza publicznego odbiorcy, ponieważ jedynym celem tego procesu jest weryfikacja nadawcy. Jeżeli klucz publiczny nie odszyfruje transakcji, oznacza to, że transakcja zakończy się niepowodzeniem.

W takim systemie klucz publiczny jest dystrybuowany swobodnie i jest w tajemnicy powiązany z kluczem prywatnym. Nie ma problemu, jeśli klucz publiczny jest znany, ale klucz prywatny należy zawsze zachować w tajemnicy. Pomimo proporcji obu kluczy obliczenie klucza prywatnego wymaga niesamowitej mocy obliczeniowej, co sprawia, że hakowanie jest niemożliwe finansowo i technicznie.

Główną wadą tego systemu jest konieczność ochrony klucza. Jeśli ktoś zna Twój klucz prywatny, będzie mógł uzyskać dostęp do Twojego portfela i dokonać za jego pomocą wszelkich transakcji, co już miało miejsce w przypadku Bloomberga, gdy w telewizji pokazano klucze jednego z pracowników.

Wniosek

Kryptografia Blockchain ma wiele zastosowań różne poziomy. W tym artykule omówione są jedynie podstawy i ogólne zasady stosowania kryptografii, jednak zagadnienie to jest znacznie głębsze, niż mogłoby się wydawać na pierwszy rzut oka.

Ważne jest zrozumienie związku pomiędzy kryptografią a technologią blockchain. Kryptografia pozwala stworzyć system, w którym strony nie muszą sobie ufać, gdyż mogą polegać na stosowanych metodach kryptograficznych.

Od swojego powstania w 2009 roku, ochrona kryptograficzna łańcucha bloków Bitcoin wytrzymuje każdą próbę fałszowania danych, a było ich niezliczoną ilość. Nowe kryptowaluty realizują jeszcze więcej bezpieczne metody kryptografia, z których część jest nawet chroniona przed brutalną siłą procesorów kwantowych, czyli zapobiega przyszłym zagrożeniom.

Bez kryptografii nie byłoby Bitcoina i kryptowalut w ogóle. Co zaskakujące, ta metoda naukowa, wynaleziona tysiące lat temu, dziś zapewnia bezpieczeństwo i stabilność naszych zasobów cyfrowych.

Zapewnione mechanizmy szyfrowania danych bezpieczeństwo informacji społeczeństwo jest ochrona informacji kryptograficznej poprzez szyfrowanie kryptograficzne.

Kryptograficzne metody ochrony informacji służą do przetwarzania, przechowywania i przesyłania informacji w mediach i sieciach komunikacyjnych.

Jedyną niezawodną metodą szyfrowania jest kryptograficzna ochrona informacji podczas przesyłania danych na duże odległości.

Kryptografia to nauka badająca i opisująca model bezpieczeństwa informacji. Kryptografia zapewnia rozwiązania wielu problemów związanych z bezpieczeństwem informacji sieciowych: uwierzytelnianie, poufność, integralność i kontrola współdziałających uczestników.

Termin „szyfrowanie” oznacza konwersję danych do postaci nieczytelnej dla człowieka i systemy oprogramowania bez klucza szyfrującego-deszyfrującego. Kryptograficzne metody bezpieczeństwa informacji zapewniają środki bezpieczeństwa informacji, dlatego jest to część koncepcji bezpieczeństwa informacji.

Cele bezpieczeństwa informacji ostatecznie sprowadzają się do zapewnienia poufności informacji i ochrony informacji systemy komputerowe w procesie przesyłania informacji siecią pomiędzy użytkownikami systemu.

Ochrona prywatności, oparta na kryptograficznym bezpieczeństwie informacji, szyfruje dane za pomocą rodziny odwracalnych transformacji, z których każda opisana jest parametrem zwanym „kluczem” oraz kolejnością określającą kolejność stosowania każdej transformacji.

Najważniejszym elementem kryptograficznej metody ochrony informacji jest klucz, który odpowiada za wybór transformacji i kolejność jej wykonania. Klucz to pewna sekwencja symboli, która konfiguruje algorytm szyfrowania i deszyfrowania systemu ochrony informacji kryptograficznej. Każda taka transformacja jest jednoznacznie określona przez klucz, który definiuje algorytm kryptograficzny zapewniający ochronę informacji i bezpieczeństwo informacyjne systemu informatycznego.

Ten sam algorytm ochrony informacji kryptograficznej może działać w różnych trybach, z których każdy ma pewne zalety i wady, które wpływają na niezawodność rosyjskich narzędzi bezpieczeństwa informacji i bezpieczeństwa informacji.

Metodologia kryptografii symetrycznej lub tajnej.

W tej metodyce techniczne środki ochrony, szyfrowania i deszyfrowania informacji przez odbiorcę i nadawcę wykorzystują ten sam klucz, uzgodniony wcześniej przed zastosowaniem inżynierii kryptograficznej ochrony informacji.

W przypadku, gdy klucz nie został naruszony, autor wiadomości zostanie automatycznie uwierzytelniony podczas procesu deszyfrowania, ponieważ tylko on ma klucz do odszyfrowania wiadomości.

Dlatego programy do ochrony informacji za pomocą kryptografii zakładają, że nadawca i adresat wiadomości są jedynymi osobami, które mogą znać klucz, a jego złamanie będzie miało wpływ na interakcję tylko tych dwóch użytkowników systemu informatycznego.

Problem ochrony informacji organizacyjnej w tym przypadku będzie istotny dla każdego kryptosystemu, który stara się osiągnąć cel, jakim jest ochrona informacji lub bezpieczeństwo informacji w Internecie, ponieważ klucze symetryczne muszą być bezpiecznie dystrybuowane między użytkownikami, to znaczy konieczne jest, aby informacje ochrona w sieć komputerowa w którym przekazywane są klucze była na wysokim poziomie.

Programowo dowolny algorytm szyfrowania symetrycznego dla kryptosystemu sprzęt komputerowy bezpieczeństwo informacji wykorzystuje krótkie klucze i bardzo szybko szyfruje, pomimo dużych ilości danych, co spełnia cel bezpieczeństwa informacji.

Środki ochrony informacje o komputerze oparte na kryptosystemach muszą wykorzystywać symetryczne systemy kluczy w następującej kolejności:

· Praca nad bezpieczeństwem informacji zaczyna się od tego, że bezpieczeństwo informacji najpierw tworzy, rozpowszechnia i przechowuje klucz symetryczny dla bezpieczeństwa informacji organizacji;

· Następnie specjalista ds. bezpieczeństwa informacji lub nadawca systemu bezpieczeństwa informacji w sieciach komputerowych tworzy podpis elektroniczny wykorzystując funkcję skrótu tekstu i dodając do tekstu powstały ciąg haszujący, który należy w bezpieczny sposób przekazać organizacji zajmującej się bezpieczeństwem informacji;

· Zgodnie z doktryną bezpieczeństwa informacji nadawca stosuje w narzędziu kryptograficznego bezpieczeństwa informacji szybki algorytm szyfrowania symetrycznego wraz z kluczem symetrycznym do pakietu wiadomości oraz podpisem elektronicznym uwierzytelniającym użytkownika systemu szyfrowania narzędzia kryptograficznego bezpieczeństwa informacji ;

· Zaszyfrowaną wiadomość można bezpiecznie przesłać nawet niezabezpieczonymi kanałami komunikacji, choć lepiej to zrobić w ramach prac nad bezpieczeństwem informacji. Jednak klucz symetryczny musi być przesyłany (zgodnie z doktryną bezpieczeństwa informacji) kanałami komunikacyjnymi w ramach programowych i sprzętowych narzędzi bezpieczeństwa informacji;

· W systemie bezpieczeństwa informacji, w całej historii bezpieczeństwa informacji, zgodnie z doktryną bezpieczeństwa informacji, odbiorca posługuje się także algorytmem symetrycznym do odszyfrowania przesyłki i tym samym kluczem symetrycznym, co umożliwia odtworzenie tekstu oryginału wiadomość i odszyfrować podpis elektroniczny nadawcy w systemie bezpieczeństwa informacji;

· W systemie bezpieczeństwa informacji odbiorca musi teraz oddzielić podpis elektroniczny od treści wiadomości;

· Teraz odbiorca porównuje otrzymane wcześniej podpisy elektroniczne i teraz, aby sprawdzić integralność przekazu i brak w nim zniekształconych danych, co w dziedzinie bezpieczeństwa informacji nazywa się integralnością transmisji danych.

Otwarta metodologia asymetrycznego bezpieczeństwa informacji.

Znając historię bezpieczeństwa informacji, można zrozumieć, że w tej metodologii klucze szyfrujące i deszyfrujące są różne, chociaż są tworzone razem. W takim systemie bezpieczeństwa informacji jeden klucz jest rozpowszechniany publicznie, a drugi przesyłany w tajemnicy, ponieważ raz zaszyfrowane dane jednym kluczem można je odszyfrować jedynie innym.

Wszystkie asymetryczne kryptograficzne środki ochrony informacji są celem ataków atakującego działającego w obszarze bezpieczeństwa informacji poprzez bezpośrednie wyliczanie kluczy. Dlatego w takim bezpieczeństwie danych osobowych lub bezpieczeństwie psychologicznym informacji stosuje się długie klucze, aby proces wyszukiwania kluczy był tak długotrwałym procesem, że włamanie do systemu bezpieczeństwa informacji straci jakikolwiek sens.

Nie jest żadną tajemnicą, nawet dla tych, którzy zajmują się podstawowym bezpieczeństwem informacji, że aby uniknąć powolności algorytmów szyfrowania asymetrycznego, dla każdej wiadomości tworzony jest tymczasowy klucz symetryczny i dopiero wtedy tylko ten jest szyfrowany algorytmami asymetrycznymi.

Systemy bezpieczeństwa psychologicznego informacji i bezpieczeństwa informacji osobistych stosują następującą procedurę stosowania kluczy asymetrycznych:

· W obszarze bezpieczeństwa informacji tworzone są i publicznie rozpowszechniane asymetryczne klucze publiczne. W systemie bezpieczeństwa informacji osobowych tajny klucz asymetryczny jest wysyłany do jego właściciela, a publiczny klucz asymetryczny jest przechowywany w bazie danych i administrowany przez centrum wydawania certyfikatów systemu bezpieczeństwa informacji, nad którym czuwa specjalista ds. bezpieczeństwa informacji. Z kolei bezpieczeństwo informacji, którego nigdzie nie można pobrać za darmo, oznacza, że obaj użytkownicy muszą ufać, że taki system bezpieczeństwa informacji bezpiecznie tworzy, administruje i dystrybuuje klucze, z których korzysta cała organizacja zajmująca się bezpieczeństwem informacji. Tym bardziej, że jeśli na każdym etapie bezpieczeństwa informacji, zgodnie z podstawami bezpieczeństwa informacji, każdy krok wykonują różne osoby, to odbiorca tajnej wiadomości musi wierzyć, że twórca kluczy zniszczył ich kopię i ich nie dostarczył klucze komukolwiek innemu, aby każdy mógł jeszcze pobrać ochronę informacji przekazywanych w systemie bezpieczeństwa informacji. Tak postępuje każdy specjalista ds. bezpieczeństwa informacji.

· Ponadto podstawy bezpieczeństwa informacji przewidują, że pod tekstem tworzony jest podpis elektroniczny, a wynikowa wartość jest szyfrowana algorytmem asymetrycznym. Następnie te same podstawy bezpieczeństwa informacji zakładają, że tajny klucz nadawcy jest przechowywany w ciągu znaków i dodawany do tekstu, który będzie przesyłany w systemie bezpieczeństwa informacji i bezpieczeństwa informacji, ponieważ podpis elektroniczny w bezpieczeństwie informacji i bezpieczeństwo informacji może stworzyć podpis elektroniczny!

· Systemy i narzędzia bezpieczeństwa informacji rozwiązują następnie problem przekazania klucza sesyjnego odbiorcy.

· Następnie w systemie bezpieczeństwa informacji nadawca musi otrzymać asymetryczny klucz publiczny centrum wydawania certyfikatów organizacji oraz technologię bezpieczeństwa informacji. W tej organizacji i technologii bezpieczeństwa informacji przechwytywanie niezaszyfrowanych żądań klucza publicznego jest najczęstszym atakiem hakerów. Dlatego w technologii bezpieczeństwa organizacji i informacji można wdrożyć system certyfikatów potwierdzających autentyczność klucza publicznego.

Algorytmy szyfrowania polegają zatem na wykorzystaniu kluczy, co pozwala na 100% ochronę danych przed użytkownikami nieznającymi klucza.

Ochrona informacji w sieci lokalne aby zapewnić integralność przechowywania informacji, wymagane są technologie bezpieczeństwa informacji oraz poufność. Oznacza to, że ochrona informacji w sieciach lokalnych musi przesyłać dane w taki sposób, aby dane pozostały niezmienione podczas transmisji i przechowywania.

Aby bezpieczeństwo informacji zapewniało integralność przechowywania i transmisji danych, konieczne jest opracowanie narzędzi wykrywających wszelkie zniekształcenia danych źródłowych, dla których do informacji źródłowej dodana zostanie redundancja.

Bezpieczeństwo informacji w Rosji za pomocą kryptografii rozwiązuje problem integralności, dodając pewien suma kontrolna lub kombinacja kontroli w celu obliczenia integralności danych. Zatem ponownie model bezpieczeństwa informacji jest kryptograficzny - zależny od klucza. Według ocen bezpieczeństwa informacji opartych na kryptografii, uzależnienie możliwości odczytu danych od tajnego klucza jest narzędziem najbardziej niezawodnym i stosowanym nawet w państwowych systemach bezpieczeństwa informacji.

Z reguły audyt bezpieczeństwa informacji przedsiębiorstwa, na przykład bezpieczeństwa informacji banków, koncentruje się na Specjalna uwaga od prawdopodobieństwa skutecznego narzucenia zniekształconej informacji, a ochrona informacji kryptograficznej pozwala zmniejszyć to prawdopodobieństwo do pomijalnie małego poziomu. Taka usługa bezpieczeństwa informacji nazywa to prawdopodobieństwo miarą odporności na imitację szyfru lub zdolności zaszyfrowanych danych do wytrzymania ataku crackera.

Ochrona informacji przed wirusami lub systemy ochrony informacji gospodarczych muszą koniecznie wspierać uwierzytelnianie użytkownika w celu zidentyfikowania regulowanego użytkownika systemu i uniemożliwienia atakującemu przedostania się do systemu.

Weryfikacja i potwierdzanie autentyczności danych użytkownika we wszystkich obszarach interakcji informacyjnej jest ważnym elementem problemu zapewnienia wiarygodności wszelkich otrzymywanych informacji i systemu bezpieczeństwa informacji w przedsiębiorstwie.

Bezpieczeństwo informacyjne banków jest szczególnie dotkliwe, jeśli chodzi o problem braku zaufania stron wchodzących ze sobą w interakcję, gdzie koncepcja bezpieczeństwa informacyjnego IS obejmuje nie tylko zagrożenie zewnętrzne ze strony strony trzeciej, ale także zagrożenie bezpieczeństwa informacji ( wykłady) od użytkowników.

Podpis cyfrowy

ochrona bezpieczeństwa informacji nieuprawniona

Czasami użytkownicy IS chcą porzucić wcześniej przyjęte zobowiązania i spróbować zmienić wcześniej utworzone dane lub dokumenty. Doktryna bezpieczeństwa informacji Federacji Rosyjskiej uwzględnia to i tłumi takie próby.

Ochrona poufnych informacji jednym kluczem jest niemożliwa w sytuacji, gdy jeden użytkownik nie ufa drugiemu, ponieważ nadawca może wówczas zaprzeczyć, że wiadomość w ogóle została wysłana. Co więcej, pomimo ochrony informacji poufnych, drugi użytkownik może modyfikować dane i przypisywać autorstwo innemu użytkownikowi systemu. Naturalnie, bez względu na wszystko ochrona oprogramowania informacji lub inżynierskiej ochrony informacji, w tym sporze nie da się ustalić prawdy.

Podpis cyfrowy w takim systemie ochrony informacji w systemach komputerowych jest panaceum na problem autorstwa. Ochrona informacji w systemach komputerowych za pomocą podpis cyfrowy zawiera 2 algorytmy: do obliczania podpisu i do jego weryfikacji. Pierwszy algorytm może wykonać tylko autor, drugi już jest dostęp publiczny aby każdy mógł w każdej chwili sprawdzić poprawność podpisu cyfrowego.

CIPF (narzędzie do ochrony informacji kryptograficznej) to program lub urządzenie szyfrujące dokumenty i generujące podpis elektroniczny (ES). Wszystkie operacje wykonuje się za pomocą klawisza podpis elektroniczny, którego nie można wybrać ręcznie, ponieważ jest to złożony zestaw znaków. To zapewnia niezawodna ochrona Informacja.

Jak działa CIPF

Nadawca tworzy dokument
Wykorzystując CIPF i klucz prywatny, podpis elektroniczny dodaje plik podpisu, szyfruje dokument i łączy wszystko w plik, który jest wysyłany do odbiorcy
Plik jest wysyłany do odbiorcy
Odbiorca odszyfrowuje dokument za pomocą protokołu CIPF i klucza prywatnego swojego podpisu elektronicznego
Odbiorca sprawdza integralność podpisu elektronicznego, upewniając się, że w dokumencie nie zostały wprowadzone żadne zmiany

Rodzaje CIPF dla podpisu elektronicznego

Istnieją dwa rodzaje narzędzi do ochrony informacji kryptograficznej: instalowane osobno i wbudowane w nośnik.

CIPF instalowany oddzielnie to program instalowany na dowolnym urządzeniu komputerowym. Takie CIPF są używane wszędzie, ale mają jedną wadę: są ściśle powiązane z jednym miejscem pracy. Będziesz mógł pracować z dowolną liczbą podpisów elektronicznych, ale tylko na komputerze lub laptopie, na którym zainstalowany jest CIPF. Pracować dla różne komputery, na każdy z nich będziesz musiał kupić dodatkową licencję.

Podczas pracy z podpisami elektronicznymi jako zainstalowany CIPF najczęściej używany jest dostawca kryptowalut CryptoPro CSP. Program działa na systemach Windows, Unix i innych system operacyjny, obsługuje krajowe standardy bezpieczeństwa GOST R 34.11-2012 i GOST R 34.10-2012.

Rzadziej stosowane są inne systemy ochrony informacji kryptograficznej:

Signal-COM CSP
LISSI-CSP
Dostawca usług VipNet

Wszystkie wymienione CIPF posiadają certyfikaty FSB i FSTEC i spełniają standardy bezpieczeństwa przyjęte w Rosji. Do pełnego działania wymagają także zakupu licencji.

CIPF wbudowany w media, to narzędzia szyfrujące wbudowane w urządzenie, zaprogramowane do niezależnej pracy. Są wygodne ze względu na swoją samowystarczalność. Wszystko co potrzebne do podpisania umowy lub raportu jest już w samych mediach. Nie ma potrzeby kupowania licencji ani instalowania dodatkowego oprogramowania. Wystarczy komputer lub laptop z dostępem do Internetu. Szyfrowanie i deszyfrowanie danych odbywa się w mediach. Nośniki z wbudowanym CIPF obejmują Rutoken EDS, Rutoken EDS 2.0 i JaCarta SE.

1.1. Niniejsza Polityka stosowania narzędzi ochrony informacji kryptograficznych ( Dalej - Polityka ) określa procedurę organizacji i zapewnienia funkcjonowania szyfrowania ( kryptograficzne) oznacza mające na celu ochronę informacji niezawierających informacji stanowiących tajemnicę państwową ( Dalej - CIPF, krypto-środki ) w przypadku ich wykorzystania w celu zapewnienia bezpieczeństwa informacji poufnych i danych osobowych w trakcie ich przetwarzania systemy informacyjne.

1.2. Niniejsza Polityka została opracowana w oparciu o:

Prawo federalne "O danych osobowych" , rozporządzenia Rządu Federacji Rosyjskiej w zakresie zapewnienia bezpieczeństwa danych osobowych;
Ustawa federalna nr 63-FZ "O podpisie elektronicznym" ;
Zarządzenie FSB Federacji Rosyjskiej nr 378 „W sprawie zatwierdzenia składu i zawartości środków organizacyjnych i technicznych zapewniających bezpieczeństwo danych osobowych podczas ich przetwarzania w systemach informatycznych danych osobowych, stosujących środki kryptograficznej ochrony informacji niezbędne do wypełnienia środków ustanowionych przez Rząd Federacja Rosyjska wymagania dotyczące ochrony danych osobowych dla każdego poziomu bezpieczeństwa”;
Zamówienie FAPSI nr 152” Po zatwierdzeniu Instrukcji w sprawie organizacji i zapewnienia bezpieczeństwa przechowywania, przetwarzania i przesyłania środkami komunikacji z wykorzystaniem środków ochrony kryptograficznej informacji o ograniczonym dostępie, niezawierających informacji stanowiących tajemnicę państwową»;
Rozkaz FSB Federacji Rosyjskiej N 66 ” Po zatwierdzeniu Regulaminu rozwoju, produkcji, sprzedaży i eksploatacji środków szyfrujących (kryptograficznych) informacji (Regulamin PKZ-2005) »;

1.3. Niniejsza Polityka dotyczy narzędzi kryptograficznych mających na celu zapewnienie bezpieczeństwa informacji poufnych i danych osobowych przetwarzanych w systemach informatycznych;

1.4. Kryptograficzne środki ochrony informacji ( Dalej - CIPF ), wdrażające szyfrowanie i funkcje podpisu elektronicznego służą do ochrony dokumenty elektroniczne przesyłane za pośrednictwem publicznych kanałów komunikacji, na przykład publicznego Internetu, lub za pośrednictwem wdzwanianych kanałów komunikacji.

1,5. Dla zapewnienia bezpieczeństwa konieczne jest zastosowanie CIPF, który:

zezwól na osadzanie w procesy technologiczne przetwarzanie wiadomości elektronicznych, zapewnienie interakcji z oprogramowaniem aplikacyjnym na poziomie przetwarzania żądań przekształceń kryptograficznych i wydawania wyników;
otrzymują od deweloperów pełen zestaw dokumentacji operacyjnej, zawierający opis kluczowego systemu, zasady pracy z nim, a także uzasadnienie niezbędnego wsparcia organizacyjnego i kadrowego;
wspierają ciągłość procesów rejestrowania działania CIPF i zapewniają integralność oprogramowanie dla środowiska operacyjnego CIPF, które jest zbiorem technicznych i oprogramowanie, wraz z którymi następuje normalne funkcjonowanie CIPF i które mogą mieć wpływ na spełnienie wymagań dla CIPF;
certyfikowane przez autoryzowanych Agencja rządowa lub mieć pozwolenie rosyjskiej FSB.

1.6. CIPF stosowany do ochrony danych osobowych musi posiadać klasę co najmniej KS2.

1.7. CIPF realizowane są w oparciu o odpowiednie algorytmy standardy krajowe RF, warunki umowy z kontrahentem.

1.8. CIPF, licencje, towarzyszące kluczowe dokumenty, instrukcje dla CIPF są kupowane przez organizację samodzielnie lub można je uzyskać od strony trzeciej, która inicjuje bezpieczny przepływ dokumentów.

1.9. CIPF, w tym nośniki instalacyjne, kluczowe dokumenty, opisy i instrukcje dla CIPF, stanowią tajemnicę handlową w rozumieniu Regulaminu Informacji Poufnych.

Procedura korzystania z CIPF

2.1. Instalacja i konfiguracja narzędzi ochrony informacji kryptograficznej odbywa się zgodnie z dokumentacją operacyjną, instrukcjami FSB Rosji i innych organizacji uczestniczących w bezpiecznym elektronicznym obiegu dokumentów. Po zakończeniu instalacji i konfiguracji sprawdzana jest gotowość CIPF do użycia, wyciągane są wnioski na temat możliwości ich działania i CIPF zostaje uruchomiony.

Umieszczenie i instalacja CIPF, a także innego sprzętu obsługującego kryptoaktywa, w bezpiecznych pomieszczeniach powinno minimalizować możliwość niekontrolowany dostęp osobom nieuprawnionym w określony sposób. Konserwacja takiego sprzętu i zmiana kluczy kryptograficznych odbywa się pod nieobecność osób nieuprawnionych do pracy z danymi CIPF. Należy zapewnić środki organizacyjne i techniczne wykluczające możliwość korzystania z CIPF przez osoby nieuprawnione. Fizyczne umiejscowienie CIPF musi zapewniać bezpieczeństwo CIPF i zapobiegać nieuprawnionemu dostępowi do CIPF. Dostęp osób do pomieszczeń, w których znajdują się środki ochrony, jest ograniczany zgodnie z potrzebami służbowymi i ustalany na podstawie wykazu zatwierdzonego przez dyrektora.

Osadzanie funduszy kryptograficznych klasy KS1 i KS2 odbywa się bez kontroli FSB Rosji ( jeżeli kontrola ta nie jest przewidziana w SIWZ na rozwój (modernizację) systemu informatycznego).

Osadzanie kryptowalut klasy KS3, KB1, KB2 i KA1 odbywa się wyłącznie pod kontrolą FSB Rosji.

Osadzanie narzędzi kryptograficznych klasy KS1, KS2 lub KS3 może być wykonane albo przez samego użytkownika narzędzia kryptograficznego, jeśli posiada on odpowiednią licencję wydanej przez FSB Rosji, albo przez organizację posiadającą odpowiednią licencję FSB Rosji.

Osadzanie kryptowalut klasy KV1, KV2 lub KA1 przeprowadza organizacja posiadająca odpowiednią licencję wydanej przez FSB Rosji.

Likwidacja CIPF odbywa się z zachowaniem procedur gwarantujących usunięcie z pamięci trwałej i z nośników zewnętrznych informacji, których nieuprawnione wykorzystanie może zaszkodzić działalności biznesowej organizacji, oraz informacji wykorzystywanych przez narzędzia bezpieczeństwa informacji ( z wyjątkiem archiwów dokumentów elektronicznych i protokołów interakcji elektronicznej, których utrzymanie i przechowywanie przez pewien okres są przewidziane w odpowiednich dokumentach regulacyjnych i (lub) umownych) i jest sformalizowany w ustawie. CIPF zostaje zniszczony ( pozbyć się) decyzją właściciela kryptofunduszu i za powiadomieniem odpowiedzialnej organizacji zgodnie z organizacją księgowania kryptofunduszy metodą kopiowania po instancji.

Skazani na zagładę ( recykling) CIPF podlegają usunięciu ze sprzętu, z którym współpracowały. W takim przypadku narzędzia kryptograficzne uważa się za usunięte ze sprzętu, jeśli procedura usuwania oprogramowania narzędzi kryptograficznych przewidziana w dokumentacji operacyjno-technicznej CIPF została zakończona i narzędzia te są całkowicie odłączone od sprzętu.

Komponenty sprzętowe i części ogólnego przeznaczenia nadające się do dalszego użytku, nieprzeznaczone specjalnie do sprzętowej implementacji algorytmów kryptograficznych lub innych funkcji CIPF, a także sprzęt współpracujący z narzędziami kryptograficznymi ( monitory, drukarki, skanery, klawiatury itp.), można używać po zniszczeniu CIPF bez ograniczeń. W takim przypadku informacje, które mogą pozostać w urządzeniach pamięci urządzenia ( na przykład w drukarkach, skanerach), należy bezpiecznie usunąć ( wymazany).

2.2. Działalność CIPF prowadzona jest przez osoby powołane na polecenie dyrektora organizacji i przeszkolone do współpracy z nimi. Jeżeli jest dwóch lub więcej użytkowników CIPF, obowiązki są rozdzielane pomiędzy nimi z uwzględnieniem osobistej odpowiedzialności za bezpieczeństwo funduszy kryptograficznych, klucza, operacyjnego i dokumentacja techniczna, a także za przydzielone obszary pracy.

Użytkownicy funduszy kryptowalutowych są zobowiązani do:

nie ujawniać informacji, do których jest upoważniony, w tym informacji o CIPF i innych środkach ochrony;
nie ujawniaj informacji o kluczowych dokumentach;
nie zezwalać na wykonywanie kopii kluczowych dokumentów;
uniemożliwić wyświetlenie kluczowych dokumentów ( monitor) komputer osobisty lub drukarka;
nie pozwalaj na zapisywanie obcych informacji na kluczowych nośnikach;
nie zezwalaj na instalację kluczowych dokumentów na innych komputerach osobistych;
spełniać wymagania dotyczące zapewnienia bezpieczeństwa informacji, wymagania dotyczące zapewnienia bezpieczeństwa CIPF i kluczowych do niego dokumentów;
raportować o próbach uzyskania przez osoby nieupoważnione informacji o wykorzystywanym CIPF lub kluczowych dla nich dokumentach;
niezwłocznie powiadamiać o faktach utraty lub braku CIPF, kluczowych dla nich dokumentów, kluczy do lokali, magazynów, pieczęci osobistych i innych faktach, które mogą prowadzić do ujawnienia informacji chronionych;
składać CIPF, dokumentację operacyjno-techniczną do nich, kluczowe dokumenty przy zwolnieniu lub usunięciu z obowiązków związanych z posługiwaniem się kryptowalutami.

Bezpieczeństwo przetwarzania informacji z wykorzystaniem CIPF zapewniają:

przestrzeganie przez użytkowników poufności podczas postępowania z informacjami, które zostały im powierzone lub które stały się znane w wyniku ich pracy, w tym informacji o funkcjonowaniu i procedurze zapewnienia bezpieczeństwa wykorzystywanego CIPF oraz kluczowych dla nich dokumentów;
dokładne przestrzeganie przez użytkowników CIPF wymogów bezpieczeństwa informacji;
niezawodne przechowywanie dokumentacji operacyjnej i technicznej CIPF, kluczowych dokumentów, ograniczonych nośników dystrybucji;
terminowe wykrywanie prób uzyskania przez osoby nieuprawnione informacji o informacjach objętych ochroną, o wykorzystywanych CIPF lub kluczowych do nich dokumentach;
natychmiastowe podjęcie działań zapobiegających ujawnieniu informacji chronionych, a także ich ewentualnemu wyciekowi w przypadku wykrycia faktu utraty lub braku CIPF, kluczowych dla nich dokumentów, zaświadczeń, przepustek, kluczy do lokali, obiektów magazynowych, sejfów ( szafki metalowe), pieczęcie osobiste itp.

W razie potrzeby przenieś do środki techniczne przekazywanie wiadomości o usługach ograniczonego dostępu związanych z organizacją i działaniem CIPF, wiadomości te muszą być przesyłane wyłącznie przy użyciu środków kryptograficznych. Przesyłanie kluczy kryptograficznych za pomocą technicznych środków komunikacji jest niedozwolone, z wyjątkiem specjalnie zorganizowanych systemów ze zdecentralizowanym dostarczaniem kluczy kryptograficznych.

CIPF podlegają rachunkowości przy użyciu indeksów lub umownych nazw i numerów rejestracyjnych. Listę indeksów, nazw kodowych i numerów rejestracyjnych kryptowalut ustala Federalna Służba Bezpieczeństwa Federacji Rosyjskiej.

Używane lub przechowywane przez CIPF, dokumentacja operacyjna i techniczna do nich, kluczowe dokumenty podlegają ewidencji kopia po kopii. Wzór Dziennika pokładowego CIPF podany jest w Załączniku nr 1, Dziennik pokładowy kluczowych mediów w Załączniku nr 2 do niniejszej Polityki. W takim przypadku należy uwzględnić oprogramowanie systemów kryptograficznej ochrony informacji wraz ze sprzętem, za pomocą którego odbywa się ich normalna praca. Jeżeli sprzęt lub sprzętowo-programowy CIPF jest podłączony do magistrali systemowej lub do jednego z wewnętrznych interfejsów sprzętowych, wówczas takie środki kryptograficzne są również brane pod uwagę wraz z odpowiednim sprzętem.

Jednostka rozliczania kluczowych dokumentów metodą kopia po kopii jest uważana za kluczowy nośnik wielokrotnego użytku, kluczowy notatnik. Jeżeli do zapisu kluczy kryptograficznych wielokrotnie wykorzystywany jest ten sam nośnik klucza, to należy go każdorazowo rejestrować oddzielnie.

Wszystkie otrzymane kopie kryptoaktywów, dokumentacja operacyjna i techniczna do nich, kluczowe dokumenty muszą zostać wydane za pokwitowaniem w odpowiednim rejestrze kopia po kopii użytkownikom kryptoaktywów, którzy są osobiście odpowiedzialni za ich bezpieczeństwo.

Przekazywanie CIPF, ich dokumentacji operacyjnej i technicznej oraz kluczowych dokumentów jest dozwolone wyłącznie pomiędzy użytkownikami kryptoaktywów i (lub) odpowiedzialnym użytkownikiem kryptoaktywów za pokwitowaniem w odpowiednich dziennikach do indywidualnej księgowości. Taki transfer pomiędzy użytkownikami środków kryptograficznych musi zostać autoryzowany.

Przechowywanie nośników instalacyjnych CIPF, dokumentacji eksploatacyjnej i technicznej, kluczowych dokumentów odbywa się w szafach ( pudełka, schowki) do indywidualnego użytku na warunkach uniemożliwiających niekontrolowany dostęp do nich, a także ich niezamierzone zniszczenie.

Sprzęt, z którym normalnie współpracuje CIPF, a także sprzęt i oprogramowanie sprzętowo-programowe CIPF, muszą być wyposażone w środki kontroli ich otwierania ( zapieczętowany, zapieczętowany). Miejsce plombowania ( opieczętowanie) kryptowalut, sprzęt musi umożliwiać wizualne monitorowanie. Jeśli jest to technicznie możliwe, w czasie nieobecności użytkowników środków kryptograficznych, środki te należy odłączyć od linii komunikacyjnej i umieścić w szczelnym magazynie.

Zmiany w oprogramowaniu CIPF oraz dokumentacji technicznej CIPF dokonywane są na podstawie otrzymanych od producenta CIPF i udokumentowanych aktualizacji z zapisem sum kontrolnych.

Działanie CIPF polega na utrzymywaniu co najmniej dwóch kopii zapasowych oprogramowania i jednej kopia zapasowa kluczowych mediów. Przywracanie funkcjonalności CIPF w sytuacje awaryjne wykonane zgodnie z dokumentacją eksploatacyjną.

2.3. Produkcja kluczowych dokumentów ze źródła klucz informacyjny przeprowadzane przez odpowiedzialnych użytkowników CIPF, przy użyciu standardowych narzędzi kryptograficznych, jeżeli taka możliwość jest przewidziana w dokumentacji operacyjnej i technicznej oraz w obecności licencji FSB Rosji na produkcję kluczowych dokumentów dla narzędzi kryptograficznych.

Kluczowe dokumenty można dostarczyć kurierem ( w tym wydziałowe) komunikację lub ze specjalnie wyznaczonymi odpowiedzialnymi użytkownikami środków kryptograficznych i pracownikami, z zastrzeżeniem środków zapobiegających niekontrolowanemu dostępowi do kluczowych dokumentów podczas dostawy.

Aby wysłać kluczowe dokumenty, należy je umieścić w trwałym opakowaniu, które wyklucza możliwość uszkodzeń fizycznych i wpływów zewnętrznych. Opakowanie wskazuje odpowiedzialnego użytkownika, dla którego opakowanie jest przeznaczone. Przesyłki takie oznaczone są jako „Osobiście”. Opakowania są zapieczętowane w sposób uniemożliwiający wyjęcie z nich zawartości bez zerwania opakowań i plomb.

Przed pierwszą deportacją ( lub wróć) adresat jest informowany odrębnym pismem o opisie wysyłanych do niego przesyłek oraz o pieczęciach, jakimi mogą być one opieczętowane.

Do przesłania kluczowych dokumentów przygotowywany jest list motywacyjny, w którym należy wskazać: co i w jakiej ilości jest wysyłane, numery kont dokumentów oraz, jeżeli to konieczne, cel i tryb korzystania z przesłanej rzeczy. List motywacyjny znajduje się w jednym z pakietów.

Otrzymane paczki są otwierane wyłącznie przez odpowiedzialnego użytkownika środków kryptograficznych, na które są przeznaczone. Jeżeli zawartość otrzymanej przesyłki nie odpowiada podanej w list motywacyjny lub samo opakowanie i nadruk - ich opis ( odcisk), a także w przypadku uszkodzenia opakowania, w wyniku którego powstają Darmowy dostęp do jego treści, wówczas odbiorca sporządza akt, który przesyła do nadawcy. Kluczowe dokumenty otrzymane wraz z takimi przesyłkami nie mogą być używane do czasu otrzymania instrukcji od nadawcy.

W przypadku wykrycia wadliwych dokumentów kluczy lub kluczy kryptograficznych należy zwrócić producentowi jeden egzemplarz wadliwego produktu w celu ustalenia przyczyn zdarzenia i wyeliminowania ich w przyszłości, a pozostałe egzemplarze należy przechowywać do czasu otrzymania dodatkowych instrukcji od producenta producent.

Otrzymanie kluczowych dokumentów należy potwierdzić nadawcy w sposób określony w liście motywacyjnym. Nadawca ma obowiązek kontrolować doręczenie swoich przesyłek do odbiorców. Jeżeli od adresata nie otrzymano w odpowiednim czasie odpowiedniego potwierdzenia, nadawca ma obowiązek skierować do niego żądanie i podjąć działania w celu wyjaśnienia miejsca przechowywania przesyłek.

Zamówienie na wytworzenie kolejnych kluczowych dokumentów, ich produkcję i dystrybucję do miejsc wykorzystania w celu terminowej wymiany istniejących kluczowych dokumentów dokonywane jest z wyprzedzeniem. Dyspozycję wprowadzenia w życie kolejnych kluczowych dokumentów wydaje odpowiedzialny użytkownik środków kryptograficznych dopiero po otrzymaniu od niego potwierdzenia otrzymania kolejnych kluczowych dokumentów.

Niewykorzystane lub dezaktywowane kluczowe dokumenty muszą zostać zwrócone odpowiedzialnemu użytkownikowi środków kryptograficznych lub, na jego polecenie, muszą zostać zniszczone na miejscu.

Zniszczenie kluczy kryptograficznych ( wstępne kluczowe informacje) można tego dokonać poprzez fizyczne zniszczenie kluczowych nośników, na których się znajdują, lub wymazanie ( zniszczenie) klucze kryptograficzne ( wstępne kluczowe informacje) bez uszkadzania kluczowych nośników ( aby zapewnić jego możliwość ponownego użycia).

Klucze kryptograficzne ( wstępne kluczowe informacje) są myte z wykorzystaniem technologii przyjętej dla odpowiednich kluczowych mediów wielokrotnego użytku ( dyskietki, dyski kompaktowe (CD-ROM), klucz danych, karta inteligentna, pamięć dotykowa itp.). Bezpośrednie działania mające na celu usunięcie kluczy kryptograficznych ( wstępne kluczowe informacje), a także ewentualne ograniczenia w dalszym korzystaniu z odpowiednich kluczowych nośników wielokrotnego użytku regulują dokumentacja operacyjna i techniczna odpowiedniego CIPF, a także instrukcje organizacji, która zarejestrowała klucze kryptograficzne ( wstępne kluczowe informacje).

Kluczowe nośniki ulegają zniszczeniu poprzez wyrządzenie im nieodwracalnych uszkodzeń fizycznych, wykluczających możliwość ich wykorzystania, a także poprzez przywrócenie kluczowych informacji. Bezpośrednie działania mające na celu zniszczenie określonego rodzaju kluczowych nośników reguluje dokumentacja operacyjno-techniczna odpowiedniego CIPF, a także instrukcje organizacji, która zarejestrowała klucze kryptograficzne ( wstępne kluczowe informacje).

Papier i inne palne media ulegają zniszczeniu poprzez spalenie lub użycie maszyn do cięcia papieru.

Kluczowe dokumenty są niszczone w terminach określonych w dokumentacji eksploatacyjnej i technicznej odpowiedniego CIPF. Fakt zniszczenia odnotowuje się w odpowiednich dziennikach egzemplarzowych.

Zniszczenia zgodnie z ustawą dokonuje komisja złożona co najmniej z dwóch osób. Ustawa określa, co i w jakiej ilości podlega zniszczeniu. Na zakończenie czynności dokonuje się ostatecznego spisu (liczbowo i słownie) liczby niszczonych pozycji i kopii kluczowych dokumentów, instalacji nośników CIPF, dokumentacji eksploatacyjnej i technicznej. Korekty w tekście ustawy muszą być uzgodnione i poświadczone podpisami wszystkich członków komisji, którzy brali udział w zniszczeniu. O dokonanych zniszczeniach sporządza się notatki w odpowiednich dziennikach dla poszczególnych akt.

Klucze kryptograficzne, co do których istnieje podejrzenie, że zostały naruszone, a także inne klucze kryptograficzne działające w połączeniu z nimi, należy natychmiast wycofać z działania, chyba że w dokumentacji operacyjnej i technicznej CIPF określono inną procedurę. W sytuacjach awaryjnych, gdy nie ma kluczy kryptograficznych, które mogłyby zastąpić te skompromitowane, na mocy decyzji odpowiedzialnego użytkownika środków kryptograficznych, uzgodnionej z operatorem, dozwolone jest użycie skompromitowanych kluczy kryptograficznych. W takim przypadku okres użytkowania skompromitowanych kluczy kryptograficznych powinien być jak najkrótszy, a chronione informacje powinny być jak najbardziej wartościowe.

O naruszeniach, które mogą prowadzić do kradzieży kluczy kryptograficznych, ich komponentów lub przesyłanych informacji ( przechowywane) przy korzystaniu z danych użytkownicy kryptowalut mają obowiązek poinformować odpowiedzialnego użytkownika kryptowalut.

Kontrola nośników kluczy wielokrotnego użytku przez osoby nieupoważnione nie powinna być traktowana jako podejrzenie kradzieży kluczy kryptograficznych, jeżeli wyklucza to możliwość ich skopiowania ( czytanie, reprodukcja).

W przypadku braków, nieokazania kluczowych dokumentów, a także niepewności co do ich lokalizacji, odpowiedzialny użytkownik podejmuje pilne działania w celu ich odnalezienia i zlokalizowania konsekwencji naruszenia kluczowych dokumentów.

Procedura zarządzania systemem kluczowym

Rejestracja osób posiadających uprawnienia do zarządzania kluczami odbywa się zgodnie z dokumentacją operacyjną CIPF.

Zarządzanie kluczami – proces informacyjny, który obejmuje trzy elementy:

— generowanie klucza;

— gromadzenie kluczy;

— rozdanie kluczy.

Organizacyjne systemy informacyjne wykorzystują specjalne metody sprzętowe i programowe do generowania losowych kluczy. Z reguły stosuje się czujniki liczb pseudolosowych ( Dalej - PSCH ), o dość dużym stopniu losowości w ich generowaniu. Generatory kluczy oprogramowania, które obliczają PRCH jako złożona funkcja od chwili obecnej i ( Lub) numer wprowadzony przez użytkownika.

Gromadzenie kluczy oznacza organizację ich przechowywania, rozliczania i usuwania.

Klucze prywatne nie mogą być zapisywane bezpośrednio na nośniku, który można odczytać lub skopiować.

Wszystkie informacje o używanych kluczach muszą być przechowywane w formie zaszyfrowanej. Klucze szyfrujące kluczowe informacje nazywane są kluczami głównymi. Każdy użytkownik musi znać klucze główne na pamięć; przechowywanie ich na jakichkolwiek nośnikach materialnych jest zabronione.

Aby zapewnić bezpieczeństwo informacji, konieczna jest okresowa aktualizacja kluczowych informacji w systemach informatycznych. W takim przypadku przypisywane są zarówno klucze zwykłe, jak i klucze główne.

Podczas dystrybucji kluczy należy spełnić następujące wymagania:

— efektywność i dokładność dystrybucji;

— tajemnica rozproszonych kluczy.

Alternatywą jest uzyskanie przez dwóch użytkowników wspólnego klucza od organu centralnego, czyli Centrum Dystrybucji Kluczy (KDC), za pośrednictwem którego mogą się bezpiecznie komunikować. Aby zorganizować wymianę danych pomiędzy CRC a użytkownikiem, podczas rejestracji przydzielany jest mu specjalny klucz, który szyfruje przesyłane między nimi wiadomości. Każdemu użytkownikowi przydzielany jest oddzielny klucz.

ZARZĄDZANIE KLUCZAMI W OPARCIU O SYSTEMY KLUCZA PUBLICZNEGO

Przed użyciem kryptosystemu klucza publicznego do wymiany zwykłych kluczy prywatnych użytkownicy muszą wymienić swoje klucze publiczne.

Kluczami publicznymi można zarządzać za pośrednictwem usługi katalogowej online lub offline, a użytkownicy mogą także bezpośrednio wymieniać klucze.

Monitorowanie i kontrola wykorzystania CIPF

Aby zwiększyć poziom bezpieczeństwa podczas obsługi CIPF, w systemie należy wdrożyć procedury monitorujące rejestrujące wszystkie istotne zdarzenia, które miały miejsce podczas procesu wymiany e-mailem oraz wszelkie incydenty związane z bezpieczeństwem informacji. Opis i wykaz tych procedur należy ustalić w dokumentacji operacyjnej CIPF.

Kontrolę stosowania zabezpieczeń informacji kryptograficznej zapewnia:

monitorowanie zgodności instalacji i konfiguracji narzędzi bezpieczeństwa informacji oraz sprzętu i oprogramowania, które mogą mieć wpływ na spełnienie wymagań dotyczących narzędzi bezpieczeństwa informacji, dokumentacji regulacyjnej i technicznej;
monitorowanie przestrzegania zasad przechowywania informacji o ograniczonym dostępie stosowanych w działaniu narzędzi bezpieczeństwa informacji ( w szczególności klucz, hasło i informacje uwierzytelniające);
kontrola możliwości dostępu osób nieuprawnionych do środków bezpieczeństwa informacji, a także do sprzętu komputerowego i oprogramowania mogącego mieć wpływ na spełnienie wymagań dotyczących środków bezpieczeństwa informacji;
monitorowanie przestrzegania zasad reagowania na incydenty informacja informacja (o faktach utraty, ujawnienia klucza, hasła i informacji uwierzytelniających, a także wszelkich innych informacji o ograniczonym dostępie);
kontrola zgodności narzędzi sprzętowych i programowych CIPF oraz dokumentacji tych narzędzi z wzorcami referencyjnymi ( gwarancje dostawcy lub mechanizmy kontrolne, które pozwalają samodzielnie ustalić taką zgodność);
monitorowanie integralności sprzętu i oprogramowania CIPF oraz dokumentacji tych narzędzi podczas przechowywania i uruchamiania tych narzędzi ( wykorzystując zarówno mechanizmy kontrolne opisane w dokumentacji CIPF, jak i wykorzystując mechanizmy organizacyjne).

Pobierać plik zip (43052)

Jeśli dokumenty są przydatne, polub lub: