100 Мифы и заблуждения информационной безопасности Лукацкий
| Вид материала | Документы |
СодержаниеМиф №97 «Вирусы пишут только студенты»07.01.2011 05:22 Миф №98 «Длинный криптографический ключ определяет надежность шифрования»24.01.2011 14:11 |
- Аннотация, 418.67kb.
- Е. А. Свирский Рассматриваются вопросы работы курсов повышения квалификации по информационной, 67.93kb.
- Система менеджмента информационной безопасности, 205.89kb.
- Теоретические основы информационной безопасности автоматизированных систем, 26.65kb.
- Содержание курса. Урок, 902.96kb.
- Обеспечение информационной безопасности организации как метод антикризисного управления, 54.18kb.
- Мифы Древней Греции Мифы Древней Индии Мифы древних славян Мифы североамериканских, 33.93kb.
- «Комплексные системы информационной безопасности», 260.23kb.
- Вопросы по информационной безопасности, 268.68kb.
- Рекомендации по обеспечению информационной безопасности Заключение, 358.69kb.
Миф №97 «Вирусы пишут только студенты»07.01.2011 05:22
Мы уже рассматривали миф о том, что вирусы создаются антивирусными компаниями. Теперь посмотрим на другое распространенное заблуждение о том, что вирусы пишут только студенты. Оно появилось на заре развития информационных технологий, когда любой начинающий студент-программист начинал свое профессиональное развитие с написания вируса, а в книжных магазинах можно было купить книжку «Как написать вирус… и антивирус». С тех пор немало воды утекло, но в головах обывателей по-прежнему этом миф циркулирует.
То, что раньше считалось уделом только немытых и длинноволосых студентов сегодня становится на службу криминальных группировок и силовых ведомств. Уже не раз появлялись сообщения о том, что силовики разных стран планируют использовать вирусные технологии в своей деятельности. Например, еще в январе 1996 года Совет Безопасности приглашал некоторых российских специалистов с целью изучения вопроса о потенциальной возможности создания боевых вирусов. В 98-м году на проходивших парламентских слушаниях представитель ФСТЭК России заявил, что им известно о случаях разработки за рубежом боевых компьютерных вирусов, предназначенных для поражения систем критически важных объектов (транспорт, связь, системы управления оружием, экологически опасными производствами и т. п.). И это не просто «газетная утка», которой так часто пугают обывателя журналисты. Эти вирусы уже были в действии. Во время операции «Буря в пустыне» американские военные успешно атаковали с помощью вирусов иракские командные центры ПВО. Еще один нашумевший случай касался ФБР, которое не стало скрывать, что планирует внедрять на компьютеры подозреваемых лиц специальную программу, названную «Волшебным фонарем» (Magic Lantern). Об этом писало немало зарубежных изданий, и даже пресс-секретарь ФБР подтвердил этот факт. Многие антивирусные компании выступили с различными комментариями по этому поводу. Причем, что интересно, комментарии были самые разные. Например, компания Symantec заявила, что при определенных условиях она не будет включать в свои продукты сигнатуру для Magic Lantern, тем самым, позволяя «Волшебному фонарю» оставаться незамеченным для Symantec Antivirus. Абсолютно противоположного мнения придерживается другая антивирусная компания – Sophos. Ее представители заявили, что они обязательно включат обнаружение Magic Lantern в свои продукты, т.к. безопасность пользователей для них важнее, чем попытки спецслужб контролировать подозреваемых ими лиц. Аналогичную задачу решала и программа D.I.R.T. (Data Interception by Remote Transmission), разработанная компанией Codex Data Systems в начале 2000-х годов. Анализ ее исходных кодов показал, что она мало чем отличается от распространенных в то время троянских программ Back Orifice или SubSeven.
Самый последний нашумевший случай связан с троянской программой Stuxnet, которую этим летом обнаружили в сети иранской атомной электростанции в Бушере. Анализ Stuxnet показал, что это была специально разработанная программа, на создание которой ушло около года и которая была предназначена именно для атаки на бушерскую АЭС. Это сразу позволило экспертам заявить о том, что на такие «подвиги» способны только государственные спецслужбы, а учитывая попытку давления на Иран со стороны США и недовольство последних самим фактом строительства АЭС на Ближнем Востоке, многие приписали авторство Stuxnet американскому ЦРУ или АНБ.
Ничего сверхествественного в появлении таких вирусов нет. Еще в 2001 году в Китае были опубликованы принципы ведения информационной войны с точки зрения китайских военных. Четвертым принципом явилось заражение сети противника вирусами, которые были признаны одним из самых действенных способов поражения вражеской сети. Такого рода факты подтверждают тот факт, что силовые ведомства не гнушаются разработкой вирусов с целью получения преимущества в информационной войне, которая по мнению многих и может стать третьей мировой войной.
Насколько это опасно, хорошо иллюстрирует пример с обычными вирусами, которые создаются в военных бактериологических лабораториях. Особенно активно об этой теме заговорили после угрозы заражения сибирской язвой в США. Сейчас ни для кого не секрет, что военные занимаются разработкой бактериологического оружия и созданием новейших разновидностей боевых вирусов, которые за короткое время способны поразить огромное число людей. А причем тут компьютерные вирусы, - спросите вы, - ведь компьютер - не человек и к нему неприменимы обычные подходы? Однако в последнее время компьютерные вирусы стали очень похожи на своих собратьев из мира физического. Еще в 96-ом в России была опубликована книга «Вирусы: биологические, социальные, психические, компьютерные», в которой приводилась единая теория вирусов, независимо от их природы. Поэтому все, что происходит с обычными вирусами и инфекциями может быть спроецировано и на виртуальный мир. Я не удивлюсь, если через некоторое время на волю вырвется очередное творение военных программистов, которое натворит таких бед, что мало не покажется. И недооценивать опасность этого я бы не стал. И вот почему.
В 1987 Фред Коэн доказал факт отсутствия алгоритма, который смог бы обнаруживать все возможные вирусы. Однако плохие новости на этом не заканчиваются. Согласно исследованиям исследовательского центра компании IBM (центр имени Томаса Ватсона, расположенный в Хоторне, США), о которых я уже писал в одном из предыдущих мифов, доказано, что существуют вирусы, для которых невозможно написать программу, обнаруживающую его со 100%-ой вероятностью даже при наличии образца вируса и проведении его всестороннего анализа. Кстати в этой работе убедительно доказывается, что заявления антивирусных компаний, которые гласят, что «уникальные фирменные алгоритмы обнаружения позволяют детектировать все известные и неизвестные вирусы» являются не более чем вводящим пользователя в заблуждение утверждением.
Еще одно интересное исследование было проведено Николасом Уивером из Университета Беркли в США. Согласно его отчету, опубликованному в августе 2001, возможно создание вирусов, а точнее, Internet-червей, которые будут во стократ опасней наделавших много шума Nimda, Red Code и т.д. Уивер называет их активными червями Уорхола (Warhol worm) и убедительно доказывает, что в отличие от уже названных червей, имеющих период распространения от нескольких часов до нескольких дней, черви Уорхола могут заразить все компьютеры в Internet за 15 (!) минут. Активность червя подразумевает его независимость от человека – теперь нет необходимости ждать, когда пользователь загрузит почту и червь разошлет свои копии по всем адресатам, хранящимся в адресной книге, - активный червь все делает самостоятельно. И это действительно серьезная угроза – особенно в совокупности с информацией исследовательского центра IBM. Только представьте себе необнаруживаемый вирус, который распространяется с названной скоростью. А ведь своевременно противопоставить ему вакцину будет невозможно. Практически все антивирусные компании, как мы уже видели в самом начале публикации мифов, включая и российские, обещают создание вакцины против нового вируса в течение 24 часов, что, как вы сами понимаете, является недостаточным для червей Уорхола.
Из других интересных теоретических изысканий, которые имеют отношение к вирусам, можно назвать создание метаморфных вирусов, а также использование при их разработки генетических алгоритмов и нейросетей. В метаморфных вирусах, в отличие от «обычных» полиморфных, в каждой новой копии изменяется не отдельный фрагмент вируса, а все тело, что существенно затрудняет его обнаружение. Нейросети позволяют создавать вирусы, части которых распределены по сети и самомодифицируются исходя из окружающих вирус условий. Кстати, вирусмейкеры уже обратили внимание на эти технологии – во время написания статьи я обнаружил несколько андерграундовых публикаций, описывающих практические аспекты применения метаморфизма при создании вирусов.
Но спецслужбы не единственные, кто создает в своих закрытых лабораториях боевые вирусы. Криминальные группировки – вот еще одна категория заказчиков этой продукции. И если по поводу боевых вирусов информацию приходится собирать по крупицам, то криминальная составляющая вирусописательства уже ни у кого не вызывает изумления. Раньше мы уже рассмотрели сценарии использования вредоносных программ с целью извлечения прибыли. Тот же Zeus, являющийся на сегодня самым распространенным троянским конем, который крадет реквизиты доступа к Интернет-банкам и даже используется для кражи промышленных секретов. Его создавал не студент для своей забавы. И какой-нибудь «Герострат» для получения известности в определенных кругах. Цель создания такой вредоносной программы – получать прибыль в течение длительного времени и оставаться как можно дольше неизвестным для средств защиты. И эта цель достаточно успешно реализуется – Zeus постоянно модифицируется, расширяя свою функциональность и приводя к постоянным изменениям алгоритма своего обнаружения. Многомиллионные (а может и многомиллиардные) доходы делают создание вредоносного кода очень интересной и прибыльной задачей для многих нечистоплотных на руку программистов.
В заключение хочу сказать, что с течением времени, можно ожидать только нарастания интереса к хакерским технологиям со стороны криминалитета и спецслужб. Чем больше наше общество будет зависеть от компьютерных технологий, тем большее внимание будет приковано к их «темной стороне» со стороны нечистых помыслами людей. И студенческие вирусы будут уже считаться невинной шалостью.
Миф №98 «Длинный криптографический ключ определяет надежность шифрования»24.01.2011 14:11
Буквально недавно мне довелось выступать на конкурсе «Львы и гладиаторы» и рассказывать о сервисе облачной Web-безопасности Cisco ScanSafe. Помимо меня на конкурсе выступали представители еще пяти компаний, каждый из которых представлял решение своей компании. Одним из таких решений была отечественная точка беспроводного доступа на базе сертифицированной в ФСБ криптографии. И одним из доводов в пользу выбора данного продукта (а цель конкурса была убедить сидяющих в жюри руководителей служб ИБ крупных отечественных компаний купить представляемое решение) было использование криптографических ключей длиной 256 бит.
И вот тогда я и решил развенчать общепринятый миф о том, что чем длиннее криптографический ключ, тем надежнее шифр. В теории это действительно так. Правильно выбранные ключи шифрования с помощью датчиков случайных (или псевдослучайных) чисел действительно надежны и требуют любой атаки, лежащей за пределами возможностей современных технологий (даже с учетом закона Мура). Для того же ГОСТ 28147-89 или AES срок жизни защищенной с их помощью информации составляет сотни лет при современном уровне развития технологий. Но на практике не все так просто. Обратимся к понятию «энтропия», которое в области криптографии означает неопределенность. Например, полу работников любой компании соответствует один бит энтропии, т.к. на любом предприятии работают как мужчины так и женщины. Т.к. вариантов всего 2, то они полностью описываются одним битом, принимающем значение 1 или 0. В давние времена полу советского почтового отделения соответствует нулевая неопределенность – там работали одни женщины. Иными словами, чем больше неопределенность, тем больше энтропия.
В области криптографии мы думаем, что чем длиннее ключ, тем сложнее его угадать или подобрать. Т.е. у 256-тибитного ключа (а именно такова длина ключа в российском стандарте ГОСТ 28147-89 или международном стандарте де-факто AES) должны быть те же 256 бит энтропии, т.к. все эти биты в идеале должны быть случайны. А число всех возможных значений ключей будет равно 2 в 256-й степени. Это колоссальное число, которое сложно себе представить. В качестве аналогии можно указать, что число элементарных частиц во Вселенной – 2 в 222-й степени. Значит ли это, что использование 256-тибитного ключа защищает нас от проникновения в чужые тайны? Как говорится в отечественной телерекламе «нет, сынок, это фантастика», а точнее теория. На практике все гораздо прозаичнее.
Во-первых, очень важно то, как и кем разработан криптографический алгоритм. Насколько он грамотен с точки зрения математики и не имеет ли он изъянов. Если мы вспомним алгоритм, которые применяется в системах сотовой связи GSM, то ныне действующий алгоритм A5/1 использует криптографические ключи длиной 64 бита. Но из-за множества недоработок и дефектов его реальная стойкость равна алгоритму, использующему 40-битные ключи шифрования. Именно эти конструктивные особенности используется для взлома данного алгоритмы практически в режиме реального времени. Всего триллион комбинаций, перебираемые на обычной персоналке за несколько минут. Если бы A5/1 был разработан корректно, то его стойкость возросла бы в миллионы раз.
Во-вторых, вспомните уже рассмотренный ранее миф о том, что криптография – это панацея. Криптографический ключ почти никогда не генерится автоматически, без участия человека. А человек – очень предсказуемое существо; далекое от вычислительной машины. Вы когда-нибудь сами создавали случайный криптографический ключ для шифрования своих тайн? Скорее всего нет. Вы используете легко запоминаемый пароль, на основе которого и строится ключ, применяемый той или иной системой для шифрования. А легко запоминаемый пароль также легко угадыватся. Ведь он, как правило, представляет собой реальное слово или комбинацию слогов нескольких слов. Но энтропия текстового фрагмента, состоящего из случайного набора символов или представляющего слово из какого-либо языка, будут иметь совершенно разные энтропии (при одинаковой длине фрагмента). А все потому, что не все символы или комбинации символов вы используете при создании пароля. При теоретической энтропии английского текста 8 бит на символ в кодировке ASCII, реальная энтропия будет равна 1.3. В итоге, 128-тибитному надежному ключу шифрования соответствует 98-символьный пароль. Готовы ли мы вместо пароля из 8-12 символов запоминать целые предложения? Врядли.
Теперь нам становится понятным, что даже если используемая нами система шифрования использует ГОСТ 28147, AES или TripleDES с длинными ключами, то это не значит, что система надежна. Если сами ключи создаются на базе введенной вами информации, то стойкость системы равна стойкости выбранного пароля. И если выбранный пароль не превысит 6-ти символов, то итоговая энтропия будет равна 32-тиразрядному ключу шифрования (и это несмотря на то, что сам криптопродукт по-прежнему поддерживает ключи длиной 256 бит). И в этом и есть самое слабое звено, о котором почти никогда не говорят разработчики. Да даже если они и сказали бы об этом, то ждать, что пользователи начнут изучать основы теории информации и выбирать правильные пароли не приходится.
Резюмируя, можно отметить, что если короткий криптографический ключ однозначно говорит о низкой надежности шифрования, то использование длинного ключа вовсе не означает стойкой защиты ваших данных. Длинный ключ означает только одно – лобовая атака становится неоправданной с точки зрения временных затрат на нее. Но ведь лобовая атака неединственная, используемая криптоаналитиками для проникновения в чужые тайны.
Можно ли решить данную проблему? Ну, во-первых, никогда не ориентируйтесь на «самопальные» системы шифрования и держащиеся в секрете алгоритмы шифрования. Это в 99% случаев означает только одно – система никем не анализировалась и содержит большое количество уязвимостей – она ненадежна. Во-вторых, можно попробовать исключить человека из процесса генерации паролей, возложив эту задачу на какой-либо инструмент создания случайных или псевдослучайных ключевых последовательностей. Но это тоже непростая задача и мы должны будем убедиться, что созданные ключи/пароли действительно случайны. Известны примеры, когда даже именитые системы автоматической генерации криптографических ключей содержали в себе изъяны, снижающие итоговую криптостойкость в миллиарды раз.
Но допустим мы решили проблему со случайной генерацией ключей и на выходе имеем надежные и длинные криптографические ключи. Решив задачу технически, мы столкнемся с проблемой психологической – случайный ключ запомнить будет невозможно. Человеческий мозг не в состоянии запоминать длинные случайные последовательности символов. Но это уже другая проблема, решение которой мы уже рассматривали ранее, в мифе о паролях.
ссылка скрыта
ссылка скрыта