100 Мифы и заблуждения информационной безопасности Лукацкий

Вид материала

Документы

Содержание Миф №66 «Шредер гарантированно уничтожает информацию на бумаге»03.02.2010 00:30 Миф №67 «Токены очень удобны и решают все проблемы с аутентификацией»05.02.2010 15:56

Подобный материал:

• Аннотация, 418.67kb.
• Е. А. Свирский Рассматриваются вопросы работы курсов повышения квалификации по информационной, 67.93kb.
• Система менеджмента информационной безопасности, 205.89kb.
• Теоретические основы информационной безопасности автоматизированных систем, 26.65kb.
• Содержание курса. Урок, 902.96kb.
• Обеспечение информационной безопасности организации как метод антикризисного управления, 54.18kb.
• Мифы Древней Греции Мифы Древней Индии Мифы древних славян Мифы североамериканских, 33.93kb.
• «Комплексные системы информационной безопасности», 260.23kb.
• Вопросы по информационной безопасности, 268.68kb.
• Рекомендации по обеспечению информационной безопасности Заключение, 358.69kb.

Миф №66 «Шредер гарантированно уничтожает информацию на бумаге»03.02.2010 00:30

Из всех методов уничтожения бумажных документов (сжигание, закапывание, химическая обработка и шредирование), шредирование – самый распространенный. Многих привлекает его простота и дешевизна – достаточно поставить в офисе недорогой шредер и получить оперативный способ избавления от ставших ненужными бумаг. Многие считают, что шредер надежно уничтожает информацию, а, следовательно, не стоит беспокоиться о том, что злоумышленники (например, конкуренты) прочтут содержимое измельченного документа. Но так ли это? Насколько оправданы ожидания специалистов по безопасности?

Один из первых примеров, показывающих не самую высокую надежность шредирования, произошел в 1979 году, в Иране. Тогда было захвачено американское посольство, а 70 сотрудников и дипломатов было взято в заложники. Перед захватом секретные документы были уничтожены в шредере, но иранские спецслужбы решили восстановить документы, содержащие имена американских разведчиков, планы по уничтожению исламской революции, методы подрывной работы и т.п. К работе по восстановлению были привлечены иранские женщины, которые вручную восстановили около 80% всех документов.

Это не единственный пример. С 1989 года идет восстановление документов немецкой спецслужбы «Штази» (в 2004-м году работы заморожены), а в США есть небольшое количество фирм, специализирующихся на восстановлении шредерованных документов по заказам адвокатских контор и частных детективных агентств. Согласно имеющимся расценкам, средняя цена восстановление кубического фута (единицей измерения по понятным причинам будет не страница, а мера объема) равна двум тысячам долларов. Кубический фут «бумажной лапши» примерно равен 100 страницам формата А4. Иными словами восстановление одной страницы, пропущенной через шредер, обойдется всего в 20 долларов. Если вдуматься, не так уж и много. В более сложных случаях, когда измельчение бумаги осуществляется не продольное, а перекрестное, и шредер «выдает» не лапшу, а кусочки бумаги размером в несколько миллиметров, цена возрастает до 80-100 долларов за страницу, что тоже не является неподъемной ценой при большом желании. Например, во время скандала с компанией Enron американское правительство нанимало компанию ChurchStreet Technology, которая автоматизировала процесс получения доказательств нарушений со стороны Enron, уничтожившей следы своей преступной деятельности.

Как осуществляется восстановление шредерованных документов? Если не рассматривать архаичный случай с ручным трудом (также известны прецеденты привлечения преступниками наркоманов для ручного восстановления), то основным на сегодняшний день является метод использования компьютера и специального программного обеспечения, которое не только ускоряет восстановление, но и уменьшает число ошибок из-за человеческого фактора. Если один человек в состоянии за рабочий день восстановить в среднем около 10 страниц формата А4, то компьютер может работать круглосуточно и его скорость превышает человеческую на порядки. Эффективность же восстановления документа, прошедшего через среднестатистический современный офисный шредер составляет около 90%.

Как же все-таки уничтожить бумажные документы, чтобы их нельзя было восстановить? Существует несколько рекомендаций. Во-первых, желательно использовать топовые модели шредеров, ориентированные на уничтожение секретных документов. Они применяют не только продольное, но и перекрестное измельчение. Размеры получающихся кусочков очень малы. Бумажные фрагменты перемешиваются, а в ряде случаев еще и обрабатываются специальными химическими составами. В этом случае восстановление бумаг становится невыгодным делом в большинстве случаев (если, конечно, разговор не идет о государственной тайне).

Если же вы все-таки не решили в условиях непростой экономической ситуации менять свой шредер, то попробуйте следовать следующим простым правилам:

1. Вставляйте документ в шредер вертикально. Это позволит разрезать страницу так, что восстановить ее будет гораздо сложнее. При горизонтальном помещении в шредер его лезвия могут попасть между строк, что приведет к быстрому восстановлению даже ручным способом.
   
2. Не используйте цветную бумагу – она сильно выделяется на фоне остальных обрезков. А значит это сильно облегчает восстановление.
   
3. Перемешайте обрезки перед их выбрасыванием.
   

Вместо шредирования можно использовать также сжигание ненужных бумаг или их химическую обработку. Но и у этих методов есть свои недостатки. Сжигание экологически вредно, требует специальных печей (костер во дворе офиса тут не подойдет), и требует предварительной подготовки, т.к. плотно упакованная бумага сгорает не полностью. Химическая обработка является самым надежным, но и самым сложным в обычной жизни методом. Он требует применения специальных реактивов. А это доступно не каждой компании; в т.ч. и из соображений цены вопроса.

К чему мы пришли? Обычный шредер не может не то, что гарантированно, но и вообще хоть как-то надежно уничтожить бумажные документы, содержащие конфиденциальную информацию. Надо четко понимать это. С другой стороны, если вы не занимаетесь обработкой сведений, составляющих государственную или военную тайну, немного найдется желающих покопаться в обрезках от вашего шредера – есть и более простые способы доступа к вашим секретам.

Миф №67 «Токены очень удобны и решают все проблемы с аутентификацией»05.02.2010 15:56

Мы уже рассмотрели мифы про «надежные» пароли и некоторые способы решения проблем, с ними возникающих. Одним из таких способов является применения аппаратных токенов, о которых в последнее время говорится достаточно много и в прессе и на конференциях. Доводы апологетов токенов в принципе понятны и очевидны. Действительно, в теории это решение является одним из идеальных по соотношению цена-качество. С одной стороны оно гораздо более эффективное и стойкое с точки зрения безопасности по сравнению с обычными паролями, вводимыми с клавиатуры (даже если рассматривать ассоциативный метод выбора паролей). А с другой стороны оно достаточно экономично по сравнению с теми же смарт-картами; даже, несмотря на то, что в последнее время стоимость смарт-карт и их ридеров постепенно снижается. Токены давно и прочно вошли в обиход многих поставщиков средств и услуг защиты и достаточно активно внедряются в тех или иных проектах по аутентификации доступа к приложениям, хранения сертификатов PKI и т.д. Часто можно услышать мнение, что токены – это панацея; особенно если они включают в себя генераторы одноразовых паролей или радиометки RFID. Но так ли это на самом деле?

Давайте посмотрим на типичную российскую (да и западную тоже) компанию. Руководящее звено, конечно же, мужчины – несмотря на равноправие, феминизм пока еще не победил до конца, и основные руководящие посты, конечно же, занимают сильная половина человечества. Среднее звено тоже, как правило, мужчины, которые не готовы уступать руководящую и направляющую роль женщине (за редким исключением). И если на Западе феминистическое движение очень сильно, и в ряде компаний даже есть квота на количество руководящих женских постов, то в России до такой свободы пока еще очень и очень далеко. Итак, руководящее звено – мужчины, но их немного.

Основные же работники, которые выполняют операционную работу – это женщины. Могу смело предположить, что в современных офисах (а именно там обычно и внедряются проекты по информационной безопасности) гораздо больше 50% всех офисных работников - это прекрасная половина человечества. Именно они работают с компьютерами, они вводят данные в информационные системы, они получают доступ к бизнес-приложениям и т.п. И именно они должны являться главной точкой внимания со стороны службы защиты информации. Ведь, как известно, основная угроза корпоративной безопасности исходит именно изнутри и свыше половины всех инцидентов приходятся на неумышленные несанкционированные действия. Еще вспомним, что защищенность системы равна защищенности самого слабого звена. Сопоставляя три  факта, мы приходим к выводу, что фокус при внедрении токенов должен быть направлен на женщин. Именно они по окончании проекта должны (в теории) перестать забывать свой пароль, записывать его на стикерс, приклеивать к монитору, сообщать подруге на время своего отпуска и т.д.

И вот здесь нас подстерегает достаточно интересный и парадоксальный факт. Женщины и токены – вещи малосовместимые. Любой из вас может провести небольшое исследование вашего окружения и вы придете к тем же выводам. Посмотрите, как одевается обычная женщина в офисе. Это брючный костюм, либо юбка и пиджак, под ним блузка – именно так одета современная деловая леди. Казалось бы, в чем сложности с использованием токенов в этом случае?.. А проблема в том, что при классическом офисном стиле женской одежды на ней нет карманов или они носят декоративную функцию!

Наверное, большинство читателей этой статьи либо не обращало, либо просто не задумывалось об этом, но именно так одето большинство женщин в современных офисах. В большинстве случаев карманов на брючном костюме или юбке с пиджаком попросту нет. А если они есть, то это скорее просто декоративные клапана. Иногда, конечно, карманы бывают. В некоторых случаях 2-4 кармана у женщины все-таки присутствуют (у мужчины в костюме их 8-10, не считая пояса, на который тоже можно что-нибудь повесить). Мне можно возразить, что раз карманы есть, то в них можно засунуть токен - он небольшой и помещается в любой карман. И вот здесь опять ярко проявляется чисто мужской тип мышления. Так уж сложилось, что в безопасности в основном работают мужчины, которые на психологические и социальные аспекты безопасности внимания не обращают (да и не учат этому нигде). А женщина думает совершенно иначе и ей в голову не придет, даже при наличии карманов, набивать их всякой всячиной. Это мужчина может напихать в них абсолютно все – достаточно вспомнить начало романа Марка Твена про Тома Сойера (у него в карманах был и перочинный ножик, и стеклянный шарик, и даже дохлая крыса, к хвосту которой была привязана веревка, чтобы ее было удобно крутить над головой). Для мужчины карманы выполняют функцию женской сумочки, и, наверное, если вы спросите женщину, она не поймет, почему мы носим мелочь, ключи именно в карманах брюк, а документы во внутреннем кармане пиджака. Для нас это нормально, для женщины - нет. Для мужчины также нормально носить токен в кармане или на поясе – для женщины это нонсенс. Женщина в карманах ничего не носит. Зайдите в обеденное время в столовую и посмотрите, как окружающая вас прекрасная половина человечества ходит на обед. Даже при наличии карманов мобильный телефон и кошелек она несет в руках (телефон иногда может висеть на шее).

Что в итоге? В карман токен не положишь. К поясу он не цепляется, т.к. у него нет крепления для этого (в отличие от тех же смарт-карт или бесконтактных карт), а принадлежностей для ношения токенов на поясе я лично не встречал. И мы приходим к тому, с чего начали – токены внедрены и на стикерсах пароли уже не записываются, но только сами токены носятся не с собой, а остаются лежать рядом с компьютером ;-( Конечно, злоумышленнику сложнее получить доступа к содержимому токена, но при четырехзначном значении кода доступа к нему, это не очень серьезная проблема. В случае неудачного подбора ПИН-кода токен будет заблокирован и злоумышленник не получит несанкционированного доступа к паролям и сертификатам, хранящимся на токене. Но с другой стороны и его владелец тоже доступа не получит, т.к. он будет заблокирован. И придется службе безопасности заниматься заменой аппаратных идентификаторов. А те, кто сталкивался с компрометацией криптографических ключей, знает, что проблема эта непростая. Конечно, существуют специальные системы управления токенами, но они борются со следствием, даже не пытаясь решить саму проблему. Тут, кстати, и еще одна проблема возникает. Если оставленный на столе токен пропал или украден (кто-то подумал, что это обычная флешка), то его замена сопряжена еще и с финансовыми затратами.

Проблема же, на мой взгляд, может быть решена достаточно просто. Надо создавать токены, которые являют собой некое украшение (т.н. «женская модификация» системы защиты). По такому пути идут сейчас многие производители (парфюмерия, косметика, одежда, автомобили, бытовая техника и т.д.). Если на рынке можно встретить инкрустированные драгоценными и полудрагоценными камнями мобильные телефоны, то почему не поступить так и с токенами? Сделать их не просто неким элементом системы информационной безопасности, который обязательно должна носить любая женщина, собственно как и любой мужчина. А представить его как элемент красоты или престижа, который будет не стыдно повесить себе на шею, которым можно будет похвастаться перед подругами и так далее. Тем более, что примеры из смежных областей есть. Например, флешки Pretec i-Disk Vogue. Их описание завораживает – «отличный подарок для любой девушки, которая ценит красоту и изящество. Этот накопитель, несомненно, очень красив. Качественный металлический корпус покрыт изумительными стразами, а надежная электронная начинка от компании Pretec делают i-Disk Vogue идеальной флешкой. Накопитель поставляется в подарочной упаковке. Выпускается в двух вариантах: золото (Gold) и серебро (Silver)».

В этом случае, конечно же, расходы компании возрастают. Но, с другой стороны, возрастает и защищенность компании. В противном случае компания от внедрения токенов только проигрывает, потому что она тратит достаточно большие деньги по сравнению, например, с использованием обычных паролей, а уровень защищенности если и повышается, то незначительно.