Информационная безопасность и защита информации

Информационная безопасность и защита информацииВ состав национальной безопасности РФ входит информационная безопасность, обеспечивающая защиту национальных интересов страны во всех сферах жизнедеятельности граждан России. Меры законодательного уровня ИБ являются общими для этих сфер. Общие методы обеспечения ИБ РФ подразделяют на правовые, организационно-технические и экономические. Правовые методы включают в себя разработку нормативных правовых актов и нормативной методической документации по вопросам обеспечения ИБ РФ. Правовые акты общего значения регулируют отношения в сфере IT с помощью регламентов и устанавливают ответственность юридических и физических лиц за незаконный доступ, распространение, копирование, искажение информации. Закон «Об информации, информатизации и защите информации» регулирует отношения при осуществлении права на поиск, получение, передачу, производство и распространение информации; применении ИТ; обеспечении защиты информации.Закон от 27 июля 2006 г. N 152-ФЗ «О персональных данных» регулирует отношения по обработке персональных данных органами государственной власти, муниципальными органами, юридическими и физическими лицами при использовании автоматизирующих средств или при обработке персональных данных вручную. Цель закона обеспечение защиты прав и свобод человека и гражданина при обработке его персональных данных, в том числе защиты прав на неприкосновенность частной жизни, личную и семейную тайну.Закон «О лицензировании отдельных видов деятельности» регулирует отношения между органами исполнительной власти, юридическими лицами и ИП во вопросам лицензирования (порядок принятия решения о предоставлении лицензии, срок действия и порядок продления лицензии, приостановление, возобновление и аннулирование действия лицензии). Закон регулирует следующие виды деятельности: оказание услуг связи, телевизионное и радиовещание; частная детективная и охранная деятельность; образовательная деятельность; предпринимательская деятельность по управлению многоквартирными домами; деятельность по перевозкам пассажиров; деятельность по проведению азартных игр; деятельность по тушению пожаров; космическая деятельность, осуществляемая корпорацией Роскосмос.Закон №1-ФЗ «Об электронной цифровой подписи» регулирует отношения в области использования ЭЦП при совершении гражданско-правовых сделок, оказании государственных и муниципальных услуг, при совершении иных юридически значимых действий. Закон об ЭЦП включает в себя следующие основные понятия: электронная подпись, сертификат ключа проверки электронной подписи, ключ электронной подписи, квалифицированный сертификат ключа проверки электронной подписи, владелец сертификата ключа проверки электронной подписи, ключ электронной подписи, ключ проверки электронной подписи, удостоверяющий центр, аккредитация удостоверяющего центра и другие.Сертификат ключа проверки электронной подписи электронный или бумажный документ, выданный удостоверяющим центром либо его доверенным лицом и подтверждающий принадлежность ключа проверки электронной подписи владельцу сертификата ключа проверки электронной подписи;Условия использования участниками электронного взаимодействия:1) право использовать любой вид ЭЦП по своему усмотрению;2) возможность использования любой ИТ и технических средств;3) недопустимость признания ЭЦП и подписанного ею электронного документа не имеющими юридической силы только на основании того, что такая электронная подпись создана не собственноручно, а с использованием средств электронной подписи для автоматического создания и проверки ЭЦП в ИС.Стандарты в области информационной безопасности можно разделить на два класса: оценочные стандарты, направленных на классификацию ИС и средств защиты по требованиям безопасности и стандарты, регламентирующие различные аспекты реализации средств защиты. Перечислим основные оценочные стандарты: «Критерии оценки доверенных компьютерных систем» (Оранжевая книга); стандарт информационная безопасность распределенных систем «Рекомендации X.800»; руководящие документы Гостехкомиссии России.Первый оценочный стандарт «Критерии оценки доверенных компьютерных систем» 1983 года, разработанный Министерством обороны США, среди пользователей получил второе название «Оранжевая книга». Документ содержит описание критериев оценки защищенности вычислительных систем и механизмов защиты в системах обработки конфиденциальной информации. Положения «Оранжевой книги» оказали существенное влияние на базу стандартизации информационной безопасности во многих странах мира.Структура «Оранжевой книги» содержит шесть требований, разделенных на следующие группы: стратегия, подотчетность, гарантии.Требования группы 1 Стратегия:1) стратегия обеспечения безопасности: необходимо иметь явную и хорошо определенную стратегию обеспечения безопасности;2) маркировка: управляющие доступом метки должны быть связаны с объектами.Требования группы 2 Подотчетность:3) идентификация: индивидуальные субъекты должны идентифицироваться.4) подотчетность: контрольная информация должна храниться отдельно и защищаться так, чтобы со стороны ответственной за это группы имелась возможность отслеживать действия, влияющие на безопасность.Требования группы 3 Гарантии:5) гарантии: вычислительная система в своем составе должна иметь аппаратные/программные механизмы, допускающие независимую оценку на предмет достаточного уровня гарантии выполнения требований (с первого по четвертое).6) постоянная защита: гарантированно защищенные механизмы, реализующие перечисленные требования, должны быть постоянно защищены от «взламывания» и/или не- санкционированного внесения изменений.Классы защищенности компьютерных систем по «Оранжевой книге» включают 4 группы критериев уровня надежности (безопасности), разделенные от минимальной до формально доказанной степени защищенности: D – минимальная защита; C – индивидуальная (дискреционная) защита; B – мандатная защита; A – верифицированная (проверенная) защита.Группа содержит от одного до нескольких классов безопасности: группа D класс D, группа С – классы С1 и С2, группа В –классы В1, В2, В3, группа А –класс А1.Механизмы безопасности «Оранжевой книги» включают следующие элементы:произвольное управление доступом метод разграничение доступа к объектам, основанный на учете личности субъекта или группы субъекта;безопасность повторного использования объектов метод защиты от случайного или преднамеренного извлечения конфиденциальной информации из «мусора»; метки безопасности (уровень секретности, список категорий) обозначает степень конфиденциальности информации принудительное управление доступом способ принудительного управления доступом с субъектами и объектами, при котором фиксирование метки безопасности фиксирует и права доступа.Степень доверия компьютерных систем оценивается критериями надежности:1) политика безопасности в виде набора законов, правил и норм поведения по обработке, защите и распространении информации в организации; 2) уровень гарантированности.Уровень гарантированности безопасности в «Оранжевой книге» характеризует меру доверия, которую возможно оказать архитектуре и реализации ИС, и показывает, насколько корректны механизмы, отвечающие за реализацию политики безопасности (пассивный аспект защиты).К руководящим документам по защите компьютерных систем Гостехкомиссии РФ от 1992 года издания относят следующую документацию:«Защита от несанкционированного доступа к информации. Термины и определения»;«Концепция защиты средств вычислительной техники и автоматизированных систем от несанкционированного доступа к информации»;«Средства вычислительной техники. Защита от несанкционированного доступа к информации. Показатели защищенности от несанкционированного доступа к информации»;«Автоматизированные системы. Защита от несанкционированного доступа к информации. Классификация автоматизированных систем и требования по защите информации»;«Временное положение по организации разработки, изготовления и эксплуатации программных и технических средств защиты секретной информации от несанкционированного доступа в автоматизированных системах и средства вычислительной техники»Одним из основных документов является руководящий документ по автоматизированным системам, в котором определено 9 классов защищенности АС от несанкционированного доступа к информации, описан минимальных состав механизмов защиты каждого класса и требования к составу функций защиты механизмов.Международный стандарт ИБ ISO 17799 «Информационные технологии — Технологии безопасности — Практические правила менеджмента информационной безопасности» содержит практические рекомендации сотрудникам по менеджменту ИБ, обеспечивающих создание, реализацию и обслуживание систем менеджмента ИБ. Согласно стандарту ИБ представляет собой методы по сохранению конфиденциальности, целостности и доступности информации.Стандарт ISO/IEC 15408 «Критерии оценки безопасности информационных технологий» регламентирует единый свод требований к функциональным возможностям безопасности продуктов ИТ и к мерам доверия, применяемым к этим продуктам ИТ при оценке безопасности. Продукты ИТ возможно реализовать в виде аппаратного, программно-аппаратного или ПО.Виды требований информационной безопасности: требования доверия к безопасности (активный аспект защиты, определяет требования к функциям и механизмам ИБ); функциональны требования безопасности (пассивный аспект защиты, определяет требования к технологии, процессу реализации и эксплуатации ИС).Многие активы в организациях представлены в виде информации, которая хранится, обрабатывается и передается с помощью ИТ-технологий. Владельцы такой информации вправе выдвигать требования, обеспечивающие доступность, распространение и модификацию информации в соответствии со строгим контролем для создания максимальной степени защиты активов от угроз с помощью применения контрмер (межсетевой экран, смарт-карты, охрана и процедуры по защите ИБ). К источникам угроз информационной безопасности относят хакеров, злонамеренных пользователей, незлонамеренных пользователей (допускающих ошибки), компьютерные процессы и сбои.Виды угроз ИБ РФ включают: 1) угрозы конституционным правам и свободам человека и гражданина в области духовной жизни и информационной деятельности, индивидуальному, групповому и общественному сознанию, духовному возрождению РФ;2) угрозы информационному обеспечению государственной политики РФ;3) угрозы развитию отечественной индустрии информации;4) угрозы безопасности информационных и телекоммуникационных средств и систем, как уже развернутых, так и создаваемых на территории РФ.Профиль защиты предназначен для описания общего требования для некоторого типа объекта оценки и определения допустимого типа соответствия задания по безопасности профилю защиты. Один и тот же профиль защиты можно использовать в качестве шаблона для различных заданий по безопасности. Профиль защиты разрабатывается сообществом пользователей, разработчиком объекта оценки или группой разработчиков подобных объектов, правительственной организацией или крупной корпорацией.Стандарты информационной безопасности это обязательная или рекомендуемая к выполнению документация, описывающая подходы к оценке уровня информационной безопасности и требования к безопасным ИС.Стандарты ИБ условно можно поделить на следующие виды:международные стандарты;государственные (национальные) стандарты;руководящие документы (РД СВТ. Защита от НСД. Показатели защищенности от НСД к информации);нормативные документы ИБ (стандарт Банка России СТО БР ИББС-1.0-2014; стандарт безопасности данных индустрии платёжных карт PCI DSS).Государственный (национальный) стандарт ИБ стандарт области информационной безопасности, принятый национальным органом по стандартизации любого государства и доступный широкому кругу пользователей.Примеры государственных (национальных) стандартов:ГОСТ Р 50922-2006 — Защита информации. Основные термины и определения.ГОСТ Р ИСО/МЭК 15408-3-2013 — Информационная технология. Методы и средства обеспечения безопасности. Критерии оценки безопасности информационных технологий. Часть 3. Требования доверия к безопасности.ГОСТ Р 51898-2002 — Аспекты безопасности. Правила включения в стандарты.Стандарт информационной безопасности иностранного государства (международный стандарт) — стандарт информационной безопасности, принятый международной организацией.Примеры стандартов ИБ иностранных государств:ISO/IEC 17799:2005 «Информационные технологии Технологии безопасности Практические правила менеджмента информационной безопасности»;Международный стандарт ISO 15408 «Общие критерии безопасности информационных технологий»ISO/IEC 27000 Словарь и определения;BS 7799-3:2006 Руководство по менеджменту рисков ИБ;Руководство по базовому уровню защиты информационных технологий.Международный стандарт ISO 17799 «Информационные технологии Технологии безопасности Практические правила менеджмента информационной безопасности» стандарт ИБ, описывающий практические советы по менеджменту ИБ для тех, кто отвечает за создание, реализацию или обслуживание систем менеджмента ИБ. Основные разделы стандарта: политика безопасности, организация ИБ, управление ресурсами, безопасность человеческих ресурсов, физическая безопасность и безопасность окружения, управление передачей данных и операционной деятельностью, контроль доступа, разработка и обслуживание ИС, управление расследованием инцидентов ИБ, управление непрерывностью бизнеса, соответствие требованиям.Международный стандарт ISO 15408 «Общие критерии безопасности информационных технологий» разработан для следующих специалистов: разработчиков, экспертов по сертификации и пользователей объекта оценки. Общие критерии выделяют два типа требований ИБ функциональных (сервисы безопасности) и доверия (технологии разработки, тестирования, анализа уязвимостей, поставке, сопровождению, эксплуатационной документации).В стандарте «Общие критерии» выделены 11 классов функциональных требований: аудит безопасности; связь; криптографическая поддержка; защита данных пользователя; идентификация и аутентификация; управление безопасностью; приватность; защита функций безопасности объекта; использование ресурсов; доступ к объекту оценки; доверенный маршрут/канал.Стандарт COBIT (аббревиатура CobiT расшифровывается как контрольные объекты для информационных и смежных технологий) «Управление и аудит информационных технологий» методология управления ИТ, содержащая пакет открытых документов, включающих 40 международных и национальных стандартов и руководств в области управления IT, аудита IT-безопасности, основанных на анализе и гармонизации существующих стандартов и ведущих практик в области управления IT.Стандарт состоит из 6 книг: резюме для руководителя, описание структуры, объекты контроля, принципы управления, принципы аудита, набор инструментов внедрения стандарта.Цель проведения аудита безопасности согласно стандарту COBIT предоставление руководству организации обоснованных гарантий эффективного выполнения задач управления ИТ. Кроме того, ИТ-аудит должен способствовать улучшению состояния ИС, характеризующегося уровнем ее безопасности и эффективностью процессов управления ИТ. Поэтому в ходе аудита анализируется текущее состояние и при наличии существенных отклонений от норм производится оценка результирующих рисков, выдаются рекомендации по поводу корректирующих действий.Этапы проведения аудита включают в себя следующие действия:1) подписание договорной и исходно-разрешительной документации;2) сбор информации (структура БП и ролей распределения ответственности);3) анализ исходных данных (составление планов, выработка стратегии, границы проведения аудита);4) выработка рекомендаций;5) контроль за выполнением рекомендаций;6) подписание отчетных актов.Стадии ЖЦ ИТ в модели COBIT включают следующие действия:планирование и организация работы;приобретение и ввод в действие;поставка и поддержка;мониторинг.К отличительным чертам COBIT относятся: большая зона охвата стандарта, наличие схем перекрестного аудита, возможность адаптации и наращивания стандарта. Главное преимущество стандарта COBIT в отличии от других стандартов в области ИТ является возможность применения различных разработок производителей аппаратно-программного обеспечения и проведения анализа полученных данных без изменения общих подходов и собственной структуры.Стандарт «Критерии надежности компьютерных систем» стандартизированный международный документ информационной безопасности, входящий в состав «Оранжевой книги» и описывающий основные критерии создания надежной компьютерной системы.Оценка степени доверия согласно стандарту происходит по двум параметрам:1) политика безопасности (свод правил, норм и принципов работы с информации, обеспечивающих сохранность данных согласно законам государства);2) уровень гарантированности (определение корректности применяемых на работе организации механизмов ИБ).Ядро безопасности представляет собой реализацию монитора обращений.Монитор обращений должен соответствовать трем качествам:1) изолированность;2) полнота;3) верифицируемость. Таким образом, согласно качествам, монитор обращений должен предоставлять контроль над его работой, бесперебойно вызываться при абсолютно любом обращении пользователя и обладать компактностью для возможности проведения анализа и полного тестирования.Согласно стандарту «Критерии надежности компьютерных систем» состав политики безопасности включает в себя следующие пункты:управление доступом в произвольной форме;повторное применение объектов с соблюдением принципов безопасности (защита от случайного или намеренного получения конфиденциальных данных);метки безопасности (степень конфиденциальности информации, разделенная на уровень секретности и список категорий);управление доступом в принудительной форме.Таким образом, выделяют произвольное и принудительное управление доступом. Произвольное управление доступом представляет собой метод разграничения доступа к объектам с помощью учета личности субъекта или группы субъектов.Принудительное управление доступом представляет собой метод доступа, при котором управление не зависит от воли субъектов.Мера уверенности определения подходящего набора средств политики ИБ характеризуется понятием гарантированности. Различают операционную и технологическую гарантированность.Операционная гарантированность включает в себя проверку элементов архитектуры и целостности системы, тайных каналов передачи данных, доверенного администрирования и восстановления после сбоев.Технологическая гарантированность способ убедиться в отсутствии утечки информации и нелегального использования данных, при котором охватывается абсолютно все стадии ЖЦ компьютерной системы.Германский стандарт BSI под названием «Руководство по защите информационных технологий для базового уровня» представляет собой стандартизированный документ, содержащий базовую методологию и компоненты управления ИБ.Общая методология и компоненты управления информационной безопасностью согласно германскому стандарту BSI содержат следующие пункты:общий метод управления ИБ;описания компонентов современных ИТ;основные компоненты;инфраструктура;клиентские компоненты различных типов;сети различных типов;элементы систем передачи данных;телекоммуникации;стандартное программное обеспечение;БД;описания основных компонентов организации режима ИБ; характеристики объектов информатизации;характеристики основных информационных активов компании;характеристики сетей на основе различных сетевых технологий;характеристика активного и пассивного телекоммуникационного оборудования ведущих вендоров;подробные каталоги угроз безопасности и мер контроля.Виды угроз в стандарте BSI подразделяются на пять классов:форс-мажорные обстоятельства;недостатки организационных мер;ошибки человека;технические неисправности; преднамеренные действия. План описания компонентов согласно стандарту состоит из следующих пунктов:1) общее описание компонентов;2) возможные сценарии угроз безопасности (перечисляются применимые к данной компоненте угрозы из каталога угроз безопасности);3) возможные контрмеры (перечисляются применимые к данной компоненте угрозы из каталога угроз безопасности).Британский стандарт BS 7799 действующий в ряде стран стандарт по управлению ИБ вне зависимости от области деятельности организации. Британский стандарт BS 7799 состоит из двух частей: часть 1 «Практические рекомендации», часть 2 «Спецификации системы». BS 7799 Part 1 описывает 127 механизмов контроля, необходимых для построения СУИБ организации, определённых на основе лучших примеров мирового опыта в данной области. Этот документ служит практическим руководством по созданию СУИБ. Первая часть содержит практические рекомендации в области информационной безопасности и состоит из следующих основных пунктов:политика ИБ;организация защиты;классификация и управление информационными ресурсами;управление персоналом;физическая безопасность;администрирование компьютерных систем и сетей;управление доступом к системам;разработка и сопровождение систем;планирование бесперебойной работы организации;проверка системы на соответствие требованиям безопасности.«Практические рекомендации» является справочником для руководителей и рядовых сотрудников, отвечающим за планирование, реализацию и поддержание внутренней системы ИБ. В 2000 году BS 7799 Part 1 утверждён в качестве международного стандарта ISO/IEC 17799:2000 (BS 7799-1:2000). В мае 1999 года Британский институт стандартов выпускает вторую версию BS 7799 (BS 7799-2:1999), представляющую собой кардинально пересмотренное первое издание. Эта версия содержит множество поправок и улучшений по сравнению со своей предшественницей.Вторая часть BS 7799 описывает возможные функциональные спецификации корпоративных систем управления ИБ с точки зрения их проверки на соответствие требованиям первой части данного стандарта. В соответствии с положениями стандарта BS 7799 Part 2 также регламентируется процедура аудита КИС.Согласно стандарту под СУИБ понимается часть общей системы управления, базирующаяся на анализе рисков и предназначенная для проектирования, реализации, контроля, сопровождения и совершенствования мер в области ИБ. Эту систему составляют организационные структуры, политика, действия по планированию, обязанности, процедуры, процессы и ресурсы.Согласно второй части стандарта «Спецификации системы» в основу процесса управления положена четырехфазная модель, включающая: планирование; реализацию; оценку; корректировку.Гармонизированные критерии европейских стран критерии ИБ, принятые Францией, Германией, Нидерландами и Великобританией. Гармонизированные критерии создали предпосылки для появления в ИБ «Общих критериев». Особенность европейских критериев заключается в отсутствие требований к условиям работы ИС. Процесс использования европейских критериев заключается в том, что для сертификации организации формулируется цель оценки, орган по сертификации оценивает корректность и эффективность архитектуры и реализации механизмов ИБ в описанных организацией условиях.В терминологии «Оранжевой книги» гармонизированные критерии европейских стран относятся к гарантированности безопасной работы системы. Требования к политике безопасности и наличию защитных механизмов не являются составной частью Критериев. В описании приложения к европейским критериям включено описание десяти классов функциональности, типичных для правительственных и коммерческих систем.В Европейских критериях четко разграничены понятия система и продукт. Под системой понимается аппаратно-программная конфигурация с четкими целями, работающая в известных окружающих её условиях. Продукт же представляет собой купленный аппаратно-программный «пакет» с возможность встраивания в ту или иную информационную систему. В итоге различие продукта от системы в области ИБ состоит в том, что система имеет конкретное окружение, а продукт рассчитан на функционирование в различных условиях.Составляющие Европейских критерий включают следующие пункты ИБ: конфиденциальность; целостность; доступность. Таким образом, информационная безопасность организации должна обеспечивать защиту от несанкционированного получения, изменения, удержания информации и ресурсов.Спецификации в области информационной безопасности согласно гармонизированным критериям европейских стран включают следующие пункты: идентификация и аутентификация; управление доступом; подотчетность; аудит; повторное использование объектов; точность информации; обмен данными; надежность обслуживания.Для получения гарантий эффективности средств безопасности рассматриваются следующие вопросы:соответствие набора функций безопасности провозглашенным целям;взаимная согласованность различных функций и механизмов ИБ;способность механизмов безопасности противостоять прямым атакам;возможность практического использования слабостей в архитектуре объекта оценки;возможность небезопасного конфигурирования или использования объекта оценки при условии, что администраторы и/или пользователи имеют основание считать ситуацию безопасной;возможность практического использования слабостей в функционировании объекта оценки.Классифицируют алгоритмы шифрования по различным признакам. По типу преобразований: шифры замены; шифры перестановки; шифры гаммирования; шифры на основе аналитических преобразований. По типу использования ключей: симметричные, ассиметричные. По размеру преобразуемого блока шифры бывают блочные и потоковые.Секретная система – множество отображений одного пространства в другое пространство, где каждое отображение множества соответствует способу шифрования при помощи ключа. Существующие модели секретных систем; совершенная стойкость; доказуемая стойкость; временная стойкость. Основные показатели секретных систем: криптографическая стойкость; объем ключевых данных; сложность выполнения прямого и обратного криптографического преобразования; разрастание числа ошибок; увеличение объема сообщенияК симметричным криптосистемам относятся следующие схемы: схема Фейстеля; шифр DES; шифр ГОСТ 28147-89; шифр Blowfish.Алгоритмы DES блочный алгоритм шифрования с 16-ю раундами, предназначенный для ИБ в государственных и коммерческих организация. Существует 4 режима работы DES: электронная кодовая книга (ECB), сцепление блоков шифра (CBC), обратная связь по шифртексту (CFB), обратная связь по выходу (OFB). Достоинство режима ECB простота реализации алгоритма на практике, недостаток эффективность алгоритма только для шифрования небольших объемов данных. Преимущество режима CBC применение алгоритма для шифрования больших объемов данных. Режимы ECB и OFB используются для передачи по каналам связи с большим числом искажений. Создают ключ из начального ключа следующим образом: добавляются биты в позиции 8, 16, 24, 32, 40, 48, 56, 64 ключа так, чтобы каждый байт содержал нечетное число единиц и затем делают перестановку для расширенного ключа.Алгоритм DOUBLE DES алгоритм шифрования с повышенной криптостойкостю шифрования за счет увеличения объема секретной информации. В двойном DES данные шифровались на одном секретном ключе, а результат зашифровывался на втором секретном ключе. Алгоритм ГОСТ 28147 схема шифрования для сфер деятельности, где требуется применение сертифицированных средств криптографической защиты данных. Алгоритм преобразует сообщение 64-битными блоками, преобразование осуществляется в соответствии со схемой Фейстеля в 32 раунда, размер ключа – 256 бит. Предусматривается 4 режима шифрования данных: простая замена, гаммирование, гаммирование с обратной связью, выработка имитовставки. Схема создания ключей: правый полублок складывается по модулю 232 с раундовым ключом, выполняется подстановка по таблицам и полученное значение преобразуется с помощью циклического сдвига влево на 11 позиций. После этого выполняется побитное сложение по модулю 2 с левым полублоком и перестановка полублоков.Основные различия между DES и ГОСТ 28147 заключаются в том, что DES обладает рядом преимуществ: существенно более длинный ключ, атака на который на данный момент представляется невыполнимой; простое расписание использования ключа упрощает реализацию и повышает скорость вычислений.Ускорение алгоритма шифрования ГОСТ 28147 возможно выполнить следующими способами: на ЦП с помощью применения SIMD-технологий; на ЦП на регистрах общего назначения; на графическом процессоре. По скоростным характеристикам шифрование ГОСТ 28147–89 приближается к AES и может стать ему хорошей альтернативой. Если комбинировать шифрование на CPU и GPU, можно достигнуть скорости шифрования на 1 узел в 53 Гбайт/с.Криптографией называют науку о математических методах обеспечения конфиденциальности и аутентичности информации. Классическая задача криптографии заключается в исследовании методов преодоления криптографической защиты путем проведения криптоанализа.В зависимости от доступа к информации выделяют следующие виды информации: с ограниченным доступом согласно ФЗ и общедоступная открытая. К информации ограниченного доступа относят государственную тайну и конфиденциальную информацию. Общедоступная информация информация, доступ к которой не может быть ограничен. Виды информации по назначению: массовая (содержит тривиальные сведения и оперирует набором понятий большей части социума); специальная (содержит специфический набор понятий узкой группы); секретная (доступ узкому кругу лиц); приватная (набор сведений о какой-либо личности); важная (сведения лиц, распространяемые по их желанию).Основные задачи защиты информации: проведение единой политики безопасности во всех сферах деятельности государства; предотвращение утечки; предупреждение вредоносных воздействий; принятие правовых актов; анализ состояния и прогнозирование возможностей технических средств разведки; формирование системы информационного обмена сведениями СЗИ; создание и контроль эффективности СЗИ. Для решения основных задач защиты информации используется ПО, называемое СКЗИ. Основные задачи СКЗИ: обеспечение конфиденциальности информации применение алгоритмов шифрования для защиты информации от несанкционированного доступа к ним; обеспечение целостности − применение к документу ЭЦП позволяет незамедлительно уведомить о попытке редактирования документа; обеспечение достоверности применение к документу таких операций, как логическая проверка, контроль входной информации и исправление ошибок позволяет обеспечить достоверность информации; обеспечение оперативности доступа применение операций для организации способности документа быть доступными конечному пользователю в соответствии с его оперативными потребностями; обеспечение юридической значимости с помощью применения ЭЦП обеспечиваются условия признания электронного документа подписанного ЭЦП, равнозначным документу на бумажном носителе, подписанным собственноручной подписью; обеспечение неотслеживаемости информации осуществляется с помощью криптографических протоколов.Криптографические методы защиты информации и ресурсов: шифрование, стенография, кодирование, сжатие. Варианты защиты: правовая защита, криптографическая защита, техническая защита и физическая защита.Система засекреченной связи представляет собой систему по передачи информации с помощью криптографических преобразований. Зашифрованием называется преобразование открытых данных в закрытые путем применения правил шифра. Обратный процесс зашифрованию называется расшифрованием. Процесс анализа документа, написанного на неизвестном языке (системе), называется дешифрованием.Взаимоднозначность отображения отображение, при котором каждому элементу одного множества соответствует ровно один элемент другого множества, при этом определено обратное отображение, которое обладает тем же свойством. Ключевым называется пространство, значения которого служат для однозначного определения записи в таблице. При этом ключ представляет собой одно или несколько ключевых пространств, позволяющих идентифицировать записи таблицы и организовывать связи между таблицами.Работа системы засекреченной связи: выбранные два ключа из ключевого пространства распределяются между абонентами по каналу передачи данных. Для получения зашифрованной информации к открытому сообщению применяют преобразование первого ключа. По каналу передачи данных происходит пересылка зашифрованного сообщения. Формула вычисления числа необходимых ключей: N=(время жизни ключа)/(скорость подбора ключа)/(шанс взлома).Криптостойкостью называется стойкость шифра к раскрытию методами криптоанализа. Раскрытие системы засекреченной связи (алгоритма шифрования): поиск процедуры, позволяющей подобрать ключ шифра за реальное время. Атаки на криптоалгоритмы: атака с известным шифротекстом, атака с выбором открытого текста. Алгоритмы криптостойкости считаются стойкими, если обладают способностью противостоять всем возможным атакам против него.Временем жизни информации называют время, в течение которого под данные выделена память.Типы алгоритмов шифрования: симметричные (блочные, поточные) и ассиметричные.Примеры классических симметричных криптографических алгоритмов: простая перестановка, одиночная перестановка по ключу, двойная перестановка перестановка «магический квадрат».Примеры ассиметричных криптографических алгоритмов: 1) RSA.2) DSA. 3) Шифр Эль-Гамаля. Шифры колонной замены заключается в применении к знакам открытого текста подстановок из симметрической группы порядка мощности алфавита открытых сообщений.Перестановки при шифровании весь текст разбивается на одинаковые отрезки и внутри такого отрезка следует переставить буквы определенным образом. Шифры замены алгоритм заключается в том, что каждая буква алфавита заменяется любым числом в соответствии со столбиком таблицы кодировки. Полиалфавитная замена шифр, при котором несколько моноалфавитных шифров используется циклически применительно к определённому числу букв шифруемого текста. Симметричные криптоалгоритмы алгоритмы, при которых дл шифрование и расшифрования используется один единственный секретный ключ.Шифр Цезаря состоит в том, что для каждой буквы алфавита выписывался тот же алфавит со сдвигом на три буквы.Шифр Виженера основан на шифре Цезаря, но вместо сдвига на три буквы алфавита возможно применять сдвиг с различными вариантами значений.Шифр Плэйфера ручной способ применения симметричного шифрования с использованием биграмм (последовательность двух соседних элементов из строки символов, которые обычно представляют собой буквы, слоги или слова).Асимметричные криптоалгоритмы это алгоритм шифра с открытым ключом, где при шифровке и расшифровке информации используются разные ключи.Необходимое условие абсолютной стойкости шифра по К.Шеннону: ненадежностью открытого текста и ключа.Правило Керкхоффа фундаментальное правило стойкости алгоритма шифрования, заключающееся в том, что стойкость шифра следует определять только секретностью ключа.Преимущества симметричных алгоритмов: простота реализации алгоритма, высока скорость работы, высокая производительность, надежность, широкое применение во многих отраслях, например, в банковском деле. Абсолютно стойкие или совершенные шифры шифры, расшифровка которых невозможна. Правила совершенного шифра: длина ключа должна быть больше или равна длине сообщения; однократное использование ключа; использование случайных символов при генерировании ключа.Условие абсолютной стойкости для шифров удовлетворяющих правилу Керкхоффа: секретность ключа.Причины осуществления успешных атак на алгоритмы шифрования заключаются в использовании в шифре распространенных в естественной речи символов или комбинаций символов. Методы, затрудняющие криптоанализ: рассеивание, запутывание, перемешивание.Шифрование с открытым ключом заключается в применении для шифра пары ключей открытого и закрытого.Доработка: TripleDES шифр, в котором для шифровки и расшифровки используются разные ключи, что позволяет противостоять атаке «встреча посередине». Преимущества: высокая надежность, используетcя чаще DES.Характеристики ГОСТ 28147-89: преобразование по схеме Фейстеля в 32 раунда информации 64-битными блоками. Достоинства: стойкий алгоритм шифрования, широкое применение в государственных и военных структурах, банках. Режимы работы: простая замена (класс методов, где шифрование заключается в замене букв согласно таблице), гаммирование или гамма шифра (наложение на открытое сообщение криптографической гаммы), гаммирование с обратной связью, выработка имитовставки. Порядок использования ключей: 256-битный секретный ключ представляется в виде сцепления 8-ми 32-битных подключей. На первом раунде берется 0-й подключ, на втором – 1-й и т. д., на 9-м раунде опять используется 0-й подключ, на 24-м – 7-й, а вот на 25-м раунде преобразования вновь используется 7-й и далее ключи используются в обратном порядке. Имитозащита — защита криптосистемы от навязывания ложных данных, реализуемая с помощью добавления к сообщению дополнительного кода, выработки имитовставки, MAC, зависящей от содержания сообщения и секретного элемента, известного только отправителю и получателю (ключа).Характеристики стандарта алгоритма AES: имеет длину блока 128 бит и поддерживает три длины ключа; является нетрадиционным блочным шифром; представляет каждый блок кодируемых данных в виде двумерного массива байтов в зависимости от установленной длины.Табличная подстановка шифры, в которых используются шифрующие таблицы, задающие правила перестановки букв в шифруемом сообщении.Сдвиг строк методы шифрования, в которых применяются алгоритмы сдвига символов с помощью определенно заданного шага.Перемешивание свойство шифра скрывать зависимости между символами исходного текста и шифротекста.Добавление ключей шифры, в алгоритмах которых используются добавочные ключи.Поточные алгоритмы алгоритмы шифрования, в которых на основе секретного ключа создается последовательность символов из входного алфавита и обработка данных происходит в один или малое число проходов. Такие алгоритмы решают задачи с последовательном приходом данных в большом объеме.Примеры решаемые задач с применением поточных алгоритмов: проблемы частотным распределением; поиск тяжелых элементов; отслеживание тренда; энтропия; машинное обучение; подсчет числа уникальных элементов.Основные характеристики поточных алгоритмов: число допустимых проходов алгоритма над данными; доступная память; время обработки.Проблемы поточных алгоритмов: проблема распределения ключей заключающаяся в отсутствии возможности применения одного ключа дважды; проблема генерации ключевого потока.Методы обеспечения синхронизации работы шифраторов: самосинхронизирующиеся шифраторы (символ гаммы зависит от определенного количества уже образованных символов гаммы); синхронные шифраторы (синхронизация происходит при вхождении в связь и дальнейшая работа на приемной и передающей сторонах осуществляется синхронно). Достоинства: алгоритмы обладают высокой скоростью шифрования и эффективностью аппаратной реализации.Недостатки: при самосинхронизирующихся шифраторов растет число ошибок при расшифровывании, если произошла ошибка в ходе передачи; при синхронных шифраторов требуется заново устанавливать связь между шифраторами при их десинхронизации, хотя они и не обладают свойством разрастания ошибок. При программном использовании методов обеспечения синхронизации возникают определенные трудности, что сужает область их практического применения.Скремблеры алгоритм, при котором в результате шифрования цифрового потока образуется последовательность со свойствами случайно величины (появление 0 и 1 равновероятно).Асимметричные алгоритмы алгоритмы криптографии с применением открытого ключа. Односторонние функции математическое преобразование, при котором используется простой процесс зашифровки данных и сложный способ расшифровки (без знания ключа шифра расшифровка данных практически невозможна). Проблема: может распознать подделку, но не может определить подлинность.Односторонние функции с секретом функция, которая может быть применена в алгоритме шифрования информации. Пусть M – исходное со-общение. Получатель выбирает одностороннюю функцию с секретом, и тогда любой, кто знает эту функцию, может зашифровать сообщение для данного получателя, вычислив значение криптограммы. Расшифровать данную криптограмму может только законный получатель, которому известен секрет.RSA алгоритм ассиметричного шифрования и ЭЦП. Криптографическая система RSA основана на теореме Эйлера.Генерация ключей: вчастности, простые числа p и q выбираются такими, что: одно из них должно быть меньше другого на несколько порядков; (p-1) и (q-1) должны иметь как можно меньший НОД; хотя бы одно из чисел (p-1), (q-1) должно иметь в разложении большой простой множитель (например, (p-1) = 2t, где t – простое). Проблемы RSA: точное определение, является ли большое число простым или нет, во многих случаях является вычислительно сложной задачей; сложность реализации этапа генерации ключей. Основные разновидности асимметричных алгоритмов:схема Диффи-Хеллмана; криптографическая система RSA (разложение на множители);криптографическая система Эль-Гамаля (дискретное логарифмирование.Хэш-функции правило построения хэш-кода m для произвольного массива данных m.Основные требования: хэш-код сильно меняется при незначительной модификации исходной информации; при известном хэш-коде невозможно за приемлемое время найти сообщение с таким хэш-кодом; при известном сообщение невозможно за приемлемое время найти сообщение с таким же хэш-кодом.Хэш-функции: SHA (последовательности до 264 бит, генерирует хэш-код длиной 160 бит); ГОСТ Р 34.11 – 94 (нет ограничений на длину входной последовательности), генерирует хэш-код длиной 256 бит). Электронно-цифровая подпись реквизит электронного документа, предназначенный для защиты документа от подделки, полученный в результате криптографического преобразования информации с использованием закрытого ключа ЭЦП и позволяющий идентифицировать владельца сертификата ключа подписи, а также установить отсутствие искажения информации в электронном документе, а также обеспечивает неотказуемость подписавшегося.Схемы построения ЭЦП: в ходе преобразований здесь используется пара ключей отправителя сообщения. Тот факт, что при вычислении ЭЦП применяется секретный ключ отправителя, позволяет доказать происхождение и подлинность сообщения. Получатель, имея открытый ключ отправителя, проверяет ЭЦП, и если подпись корректна, то он может считать, что сообщение подлинное.Нарушения в процессе информационного обмена, обнаруживаемые при помощи ЭЦП: удостоверить, что подписанный текст исходит от лица, поставившего подпись; не дать лицу, подписавшему документ, возможности отказаться от обязательств, связанных с подписанным текстом; гарантировать целостность подписанного текста.Проблемы и риски, возникающие при использовании ЭЦП: ренегатство (отказ от сделанных изменений информации или других выполненных действий); модификация (изменение информации таким образом, чтобы обрабатывающая их программа продолжала нормально функционировать); подделка (злонамеренное искажение содержания или происхождения информации с ЭЦП); навязывание (знание секретного ключа злоумышленником увеличивает вероятность успешного навязывания искаженной или ложной информации); имитация (угроза, состоящая в посылке противником сообщения получателю, когда отправитель на самом деле никаких сообщений не посылал).Основным достоинством криптографических алгоритмов с открытым ключом является возможность решения таких задач, как распределение ключа по небезопасному каналу, аутентификации сообщения и отправителя, и т. д. В то же время, асимметричные шифры работают существенно более медленно, чем симметричные. Поэтому симметричные и асимметричные алгоритмы часто используют вместе – для распределения ключей и ЭЦП используют криптографию с открытым ключом, данные шифруют с помощью симметричных алгоритмов.Примерное соответствие длин ключей для симметричных и асимметричных криптосистем, обеспечивающих равную безопасность: 64-битному ключу симметричного шифрования примерно соответствует 512-битный ключ RSA, а 128-битному – ключ RSA длиной более 2300 бит.«Гибридная» схема криптографической защиты система, в которой одновременно используются несколько алгоритмов, совмещая преимущества алгоритма с открытым ключом с производительностью симметричных криптосистем.Вероятностные шифры вид шифрования с открытым ключом , допускающим неоднозначное вскрытие, основной целью которого является устранение утечки информации в криптографии с открытым ключом.Основные модели защиты информации: дискреционная (обеспечивает произвольное управление доступом субъектов к объектам и контроль за распространением прав доступа), мандатная (управления доступом основано на правилах секретного документооборота), ролевая (управление доступом осуществляется на основе матрицы прав доступа для ролей и с помощью регламентирующих правил). Политика ИБ направлена на защиту информационных активов от угроз, исходящих от противоправных действий злоумышленников, уменьшение рисков и снижение потенциального вреда от аварий, непреднамеренных ошибочных действий персонала, технических сбоев, неправильных технологических и организационных решений в процессах обработки, передачи и хранения информации и обеспечение нормального функционирования технологических процессов. Примерное содержание политики информационной безопасности: политика ИБ, частные политики ИБ, процедуры и регламенты ИБ, инструкции ИБ.Основные способы защиты информации: шифрование, физическая защита данных, системы электроснабжения, системы архивирования информации. Физические способы защиты: резервное копирование, антивирусная проверка, использование блока бесперебойного питания. Управление доступом ИБ базируется на трех понятиях: пользователь, объект доступа, привилегия. Правовые методы обеспечения информационной безопасности: нормативно-правовое обеспечение ИБ; научные знания о правовом обеспечении ИБ. Доступом к информации называется ознакомление с информацией с последующей её обработкой. Доступом в автоматизированную информационную систему называется получение возможности ознакомления с информацией, ее обработки и воздействия на информацию и ресурсы АИС с использованием программных и технических средств.Упpaвлeниe дocтупoм метод защиты данных с помощью регулировки применения всех ресурсов ИС, включающий следующие функции: идентификация, аутентификация, проверка полномочий.Существует несколько классификаций паролей. Типы паролей: буквенный; символьный; цифровой; комбинированный; использование регистра. Простой пapoль условно можно определить в следующие группы: двухсловные пароли, слова с числами в конце, выдаваемые системой по умолчанию, слова из английского и других словарей, слова с заменой букв цифрами или специальными символами, клавиатурные последовательности символов, известные цифровые комбинации, личные данные. Пapoль oднoкpaтнoгo иcпoльзoвaния пароль, выбранный пользователем из списка паролей, который можно применить однократно для прохождения аутентификации в системе.Meтoд «зaпрос – oтвeт» схема аутентификации, при которой сервер вместе с выбранной версией протокола передает ключ R х – псевдослучайную строку длиной 8 байт (C8). Далее С8 подвергается преобразованию с использованием пароля в качестве секретного значения.Самый распространенный протокол аутентификации пapoль нa оснoвe aлгopитма RSA, состоящий из 2х этапов генерации ключей, аутентификации. Пapoль нa оснoвe «персонaльнoгo физическoгo ключa»: в памяти компьютера хранится таблица паролей в зашифрованном и в открытом видах.Недостатки паролей: сложность сохранения баланса между удобством пароля для пользователя и его надежностью; пароли возможно подобрать, случайно показать посторонним лицам, нелегально передать авторизованным пользователем неавторизованному.Пpи paбoтe c пapoлями peкoмeндуeтcя пpимeнeние пpaвил и мер пpeдосторожности: не печатать пароли и не выводить их на экран; часто менять пароли . Защитные свойства регистрации и аудита в информационных системах: механизм регистрации основан на подотчетности системы обеспечения ИБ, фиксирующей все события ИБ: вход и выход субъекта; запуск и завершение программ, выдача печатных документов; попытки доступа к защищаемым ресурсам, изменение полномочий субъектов доступа, изменение статуса объектов доступа.Определение «АУДИТ» проверка существующей или проектируемой политики ИБ командой независимых специалистов для оценки вероятности риска возникновения угрозы ИБ. Задачи решаемые механизмами регистрации аудита: оценка рисков и текущего уровня защищенности, локализация узких мест в СЗИ, оценка соответствия существующим стандартам ИБ и политике ИБ организации., выработка рекомендаций по совершенствованию механизмов безопасности. Практические средства регистрации аудита:  различные системные утилиты и прикладные программы, регистрационный (системный или контрольный) журнал.Подозрительная активность злоумышленное или нетипичное поведение пользователя ИС.В параметрах регистрации доступа фиксируются следующие данные: дата и время запуска, имя программы (процесса, задания), идентификатор субъекта доступа, запросившего программу (процесс, задание), результат запуска (успешный, неуспешный - несанкционированный). Этапы администрирования процессов регистрации: обследование, инструментальная проверка защищенности, аттестация СЗИ, разработка рекомендаций.Программные средства защиты: средства архивации данных, антивирусные программы, криптографические средства, средства идентификации и аутентификации пользователей, средства управления доступом, протоколирование и аудит.Организационные средства защиты: охрана и режим, работа с персоналом, аналитическая работа и контроль, работа с документами, комплексное планирование мероприятий по СЗИ, управление ИБ.Существуют два основных типа систем обнаружения вторжений (IDS): узловые HIDS и сетевые NIDS. Система HIDS располагается на отдельном узле и отслеживает признаки атак на данный узел. Система NIDS находится на отдельной системе, отслеживающей сетевой трафик на наличие признаков атак, проводимых в подконтрольном сегменте сети.Пять основных типов датчиков HIDS: анализаторы журналов (на сервере отслеживаются файлы журналов в системе), датчики признаков (набор определенных признаков событий безопасности), анализаторы системных вызовов (анализируют вызовы между приложениями и ОС для идентификаций событий ИБ), анализаторы поведения приложений (проверяют вызов на предмет того, можно ли приложению выполнять данное действие), контролеры целостности файлов (отслеживают изменение файлов).Сетевые IDS переключает сетевую карту в системе в неразборчивый режим работы, при котором сетевой адаптер пропускает весь сетевой трафик в ПО NIDS. Затем анализируется трафик, если трафик представляет интерес, то происходит генерация соответствующего события.Преимущества использования NIDS: возможность полного скрытия в сети наблюдения за злоумышленником, возможность использования системы для мониторинга трафика с большим количеством потенциальных систем-целей, может перехватывать содержимое всех пакетов, направляющихся на систему-цель.Недостатки NIDS: система не определяет успешность/неспешность атаки и не может просматривать зашифрованный трафик, выдает исключительно сигналы тревоги, существует вероятность упущения интересуемого трафика.Постоянное использование инструментальных средств тестирования системы защиты КИС обеспечивают надежность системы. Для этого следует вести учет атак ИБ, систематизировать СЗИ путем моделирования возможных атак. Брандмауэры барьер компьютерной сети, защищающий от попыток вторжения злоумышленника. Ряд брандмауэров позволяет реализовывать виртуальные сети объединение различных локальных сетей Internet в общую сеть.Межсетевые экраны устройство контроля доступа в сеть, блокирующее неразрешенные политикой ИБ данные. Организация межсетевого экрана заключается в применении средства защиты, пропускающим только определенный трафик из потока данных.Основная особенность компьютерных вирусов: возможность самовольного внедрения в различные объекты ОС вредоносных программ; способность создания дубликатов вируса с последующим внедрением их в выполняемые объекты.Согласно ГОСТ Р 51275-2006 «Защита информации. Объект информатизации. Факторы, воздействующие на информацию. Общие положения» вирус это вредоносная программа, способная создавать свои копии и аналогичные вирусные программы.Классификация по деструктивным возможностям вирусов: безвредные вирусы, неопасные вирусы, опасные вирусы, очень опасные вирусы. «Вредные программы»: вирусы, «троянские программы», утилиты скрытого администрирования удаленных компьютеров. Разновидностью «троянской программы» являются утилиты скрытого администрирования, используемые злоумышленниками для удаленного администрирования компьютерной сети. Такая утилита при запуске автоматически устанавливается в систему для слежки в ней, пользователь системы при этом не знает о работе такой программы в его компьютерной системы. Утилита позволяет получить полный скрытый доступ управления с возможностью совершения стандартных пользовательских действий над чужим компьютером.Антивирусная программа программа, позволяющая искать и обнаруживать вирусы с целью их дальнейшей классификации и удаления из компьютерной системы.Понятия «Ложное срабатывание» детектирование вируса в незараженном объекте.«Пропуск вируса» недетектирование вируса в зараженном объекте.«Сканирование по запросу» поиск вредоносной программы по запросы пользователя системы. «Сканирование на лету» постоянная проверка на вирусы объектов, в которым происходит обращение.Основные популярные и эффективные антивирусные программы: антивирусные сканеры (поиск известных вирусов происходит с помощью маски вируса), CRC-сканеры (ревизоры), антивирусы блокировщики, иммунизаторы. Технические (аппаратные) средства различные по типу устройства, решающие задачи защиты информации от утечки по техническим каналам.Основные понятия шифрования: обычный текст (информация в исходном виде), шифрованный текст (информация для алгоритма шифрования), алгоритм шифрования (метод преобразования текста в шифр), ключ (данные для преобразования текста в шифр и обратно), шифрование (преобразование открытого текста в шифр), дешифрование (преобразование шифра в открытый текст). Три состояния безопасности информации: конфиденциальность, целостность, идентифицируемость.Криптография наука о сокрытии информации путем шифрования. Занимается криптографией криптограф. Анализ уязвимостей алгоритмов шифрования называется криптоанализом. Лицо, использующее криптоанализ, называется криптоаналитиком. «Простейшие методы шифрования текста»: шифр Атбаш, шифр Цезаря, Квадрат Полибия, Стихотворный шифр, Литорея.Электронная подпись функционирует на основе криптоалгоритмов с открытыми ключами и инфраструктуры открытых ключей. Ассиметричные шифры используют секретные и публичные ключи, уникальные для каждого пользователя и цифровой сертификат.Закрытый ключ представляет собой информацию в 256 бит, расположенную в недоступном другим лицам месте. Закрытый ключ работает исключительно в паре с открытым ключом, используемым для проверки ЭЦП. К открытому ключу прилагается сертификат ключа проверки электронной подписи.Дубликат открытого ключа направляется в библиотеку УЦ, задачами которого является обеспечение регистрации и надежного хранения открытых ключей для избежания попыток подделки или искажения.Сертификат ключа проверки электронной подписи документ, выданный УЦ либо доверенным лицом УЦ и подтверждающий принадлежность ключа проверки ЭЦП владельцу сертификата проверки ЭЦП. Содержание сертификата: файл с данными владельца сертификата. Квалифицированным ключом сертификата проверки ЭЦП является сертификат аккредитованного УЦ.Комплект для применения электронной подписи: закрытый и открытый ключ, сертификат ключа подписи, дистрибутив программы Крипто-Про CSP. Надежность ЭП технология изготовления ЭЦП обеспечивает высокую степень защиту целостности и авторства документа от подделки.Виды ЭП: простая ЭП, усиленная неквалифицированная ЭП, усиленная квалифицированная ЭП. Процесс обмена сообщением: отправитель получает у УЦ секретный ключ, на основе которого формируется ЭЦП и отправляется письмо. Получатель при помощи общедоступного ключа и цифрового сертификата устанавливает авторство документа.Схема выработки ЭП при асимметричном шифровании: документ, хэш-функция, хэширование, хэш документа, зашифровка, закрытый ключ, ЭЦП. Схема проверки ЭП при асимметричном шифровании: расшифровка с помощью открытого ключа, расшифрованный хэш-документа, ЭЦП к документу, хэш-функция, хэширование, хэш-документа, если хэш совпадает с расшифрованным хэшем то документ подписан правильно, в противном случае подпись или документ поддельны. Хеширование преобразование согласно алгоритму массива входящей информации в битовую строку фиксированной длины.Разновидности электронной подписи: присоединена к подписываемым данным (создается отдельный файл ЭП), отсоединена от подписываемых данных (файл подписи формируется отдельно от документа), находится внутри подписываемых данных (ЭП зависит от используемого приложения). Программа КриптоПро линейка шифровальный программ-криптопровайдеров, используемых во многих программах отечественных разработчиков для создания ЭЦП, работы с сертификатами. Компания КРИПТО-ПРО является лидером среди компаний по распространению средств криптографической защиты информации и ЭП. Компания лицензирована ФСБ, ФАПСИ и Гостехкомиссией.