Защита информации в системах дистанционного обучения с монопольным доступом

обучение в СДО человек получает свое входное имя и пароль для входа на

сервер с учебными материалами. При обращении обучаемого к серверу о нем

можно собирать информацию, полезную для преподавателя:

. перечень страниц, посещенных пользователем за сеанс работы;

. время, проведенное на каждой странице;

. активированные гиперссылки на данной странице;

. перечень файлов, которые были скопированы пользователем с учебного

сервера;

. время тестирования;

. и др.

При необходимости администратор сервера СДО может с помощью собираемой

информации восстановить любой сценарий сеанса работы какого-либо

обучаемого.

Но вся собранная таким образом информация является косвенной. То есть,

если в систему вошел человек по входному имени и паролю своего коллеги с

целью отметиться и принять участие в тестировании, то его невозможно

разоблачить. Другими словами, нужны прямые доказательства того, что данный

сеанс обучения провел действительно тот пользователь, с чьим именем

сопоставлены входное имя и пароль."

Далее в статье идет речь о распознавании пользователей с применением

дополнительного аппаратного обеспечения. Предлагается использовать такие

биометрические характеристики человека, как отпечаток пальца, геометрия

руки, радужная оболочка глаза, сетчатка глаза, голос, геометрия лица, что

для нас не представляет интереса.

Более интересным является направление, обозначенное в статье как

распознавание пользователей с использованием дополнительного программного

обеспечения. Развитие исследования данного вопроса мы можем найти в пособии

"Как защитить информацию" (глава "Идентификация пользователя: СВОЙ -

ЧУЖОЙ?") [23]. Вот основные идеи, излагаемые в этом руководстве:

"Почерк уникален, это знают все. Но немногие догадываются, что в

общении с компьютером индивидуальность пользователя проявляется также:

скорость, привычка использовать основную или дополнительную часть

клавиатуры, характер «сдвоенных» и «строенных» нажатий клавиш, излюбленные

приемы управления компьютером..., с помощью которых можно выделить

конкретного человека среди всех работавших на данной машине. И ничего

удивительного, - это сродни способности меломанов различать на слух

пианистов, исполняющих одно произведение. Как же выявить индивидуальные

особенности клавиатурного почерка? Также, как и при графологической

экспертизе: нужны эталонный и исследуемый образцы текста. Лучше, если их

содержание будет одинаковым (так называемая, парольная или ключевая фраза).

Разумеется, по двум-трем, даже по десяти нажатым клавишам отличить

пользователя невозможно, нужна статистика.

При наборе ключевой фразы компьютер позволяет зафиксировать много

различных параметров, но для идентификации наиболее удобно использовать

время, затраченное на ввод отдельных букв. А повторив ввод фразы несколько

раз, в результате будем иметь множество временных интервалов для каждого

символа. На базе полученных значений всегда можно рассчитать среднее время

ввода каждого символа, допустимое отклонение от среднего, и хранить эти

результате в качестве эталонов для каждого пользователя.

Уникальные особенности клавиатурного почерка выявляются двумя

методами: по набору ключевой фразы или по «свободному» тексту. Каждый

обязательно имеет режимы настройки и идентификации. При настройке

определяются и запоминаются эталонные характеристики ввода пользователем

ключевых фраз, например, время, затраченное на отдельные буквы. А в режиме

идентификации, после исключения грубых ошибок, эталонное и полученное

множества сопоставляются (проверяется гипотеза о равенстве их центров

распределения)."

Далее в руководстве излагаются соответствующие алгоритмы для настройки

и организации идентификации системы, использующей анализ клавиатурного

подчерка, движений мышки. Применительно к системам дистанционного обучения,

использование подобного метода могло бы дать возможность выявления

ситуации, когда за компьютер сядет другой человек. Хотя приведенные в

статье методы интересны, но они достаточно ненадежны, а исследование в этом

направлении потребует отдельной работы. Для обучения системы необходимо

определенное время. В случае студента этого времени практически нет, да и

при своей работе ему придется вводить совсем немного текстовых данных.

Движения мышки в такой системе анализировать будет сложно.

2. Неизвестно, сколько раз студент предпринял попытку пройти

тестирование. Студент имеет возможность устанавливать систему

дистанционного обучения в нескольких экземплярах и/или копировать ее, тем

самым сохраняя ее текущее состояние. Студент получает возможность

неограниченного количества попыток прохождения тестирования и выбора из них

попытки с наилучшим результатом.

Применение различных ухищрений при хранении информации о проделанной

студентом работе. Решить эту проблему не просто. В любом случае невозможно

узнать, что студент установил пакет программ дистанционного обучения на

двух компьютерах, а затем использует один для тренировки и подбора

правильных ответов, а второй уже для тестирования. При чем он может

поступить проще и воспользоваться программой для создания множества

виртуальных машин на одной физической. Такой программой, например, является

WMware [24]. Или может создать одну виртуальную машину и установить на ней

программу, производящую тестирования. А затем, если результат прохождения

тестирования его не будет устраивать, он сможет восстановить предыдущее

состояние всей виртуальной системы, просто сделав откат. Это, например,

позволяет произвести уже упомянутая ранее программа WMware. Т.е.,

фактически, используя такую программу, студент имеет возможность создавать

"моментальный слепок" всего компьютера. Что позволяет ему необходимо

вернуться к предыдущему состоянию.

Одним из методом решения данной проблемы может стать использование

индивидуальной дискеты студента. Идея здесь та же, что и использовалась при

защите программного обеспечения от несанкционированного копирования. Сейчас

для этих целей все чаше используется технология электронных ключей (Hasp и

т.д.). Смысл в том, что дискета форматируется, а затем используется особым

образом. Т.е. работать с такой дискетой может только специальный набор

программ. Стандартными методами такую дискету нельзя ни скопировать, ни

просмотреть информацию на ней, так как она хранится в особом формате.

Работать с такой дискетой могут только программы, входящие в состав системы

дистанционного обучения. Без ключевой дискеты система работать не будет. На

этой дискете можно отмечать количество попыток тестирование и т.д., тем

самым решая рассматриваемую проблему.

Но эта технология не является решением проблемы. Посмотрим, что,

например, говорится в электронном пособии по борьбе с хакерами о некоторых

таких системах [23]:

"Система JAWS.

Ключевая информация в системе располагается на дорожке 0 инженерного

цилиндра с номером 42. Автор системы защиты от копирования JAWS утверждает,

что созданные дискеты не копируются программой COPYWRIT. Это утверждение не

соответствует действительности. Дискета копируется программой COPYWRIT,

если указать максимальный номер копируемого цилиндра, равным 42.

Система НОТА.

Авторы этой системы также решили расположить информацию о защите в области

инженерных цилиндров. В отличие от системы JAWS они решили использовать

дорожку 0 цилиндра 41. Однако программа COPYWRIT также успешно копируют эту

дискету.

Система SHIELD

Авторы системы SHIELD не пошли проторенным путем использования инженерного

цилиндра и нарушения CHRN. Они использовали свободное пространство на

дорожке 0 цилиндров 0, 1 и 2 для размещения ключевой информации. Дискета не

копируется напрямую программой COPYWRIT. Однако после копирования

программой COPYWRIT достаточно обработать данные программой DISK EXPLORER и

Вы имеете работоспособную копию.

Система BOARD.

На дискете применяется метод форматирования с длиной 1. Также применяется

метод увеличения длины последнего сектора, для запутывания программ

COPYIIPC и COPYWRIT. Применяемый формат имеет следующие характеристики.

Формат одинаков для цилиндров 0 и 41. Выполняется форматирование на 11

секторов с N=1, GAP=255 и символом заполнителем формата “X”. Первые 9

секторов имеют стандартные R от 1 до 9 и N=2. Предпоследний CHRN имеет R=11

и N=6. У последнего сектора поля CHRN соответственно равны 123, 17, 249 и

7. Полученный формат при работе с секторами от 1 до 9 имеет “отрицательный”

GAP3, так как форматирование выполняется с кодом длины 1, а операции с

секторами выполняются с кодом длины 2. При этом CRC сектора залезает на

SYNC адресного маркера идентификатора следующего сектора. В первом секторе

цилиндра 41 записывается ключевая информация, а сектора 2, 3, ... , 9

заполняются символами F6h, что должно маскировать их под обычный формат.

Вместе с тем, авторы проверяют из всего объема ключевой информации только

информацию из первого сектора на цилиндре 41. Поэтому при копировании

достаточно завести обычный сектор с номером 1 на 41 цилиндре и переписать

туда ключевую информацию. Авторы не использовали дополнительных

возможностей контроля ключевой информации. Анализ данных при чтении

предпоследнего сектора на ключевых дорожках позволяет контролировать размер

GAP3 и символ заполнитель, использованные при форматировании, а также CHRN

последнего сектора на дорожке и длину дорожки. "

Описание многих других систем здесь опушено, так как в целом они схожи

с уже описанными. Как видно, использование данного подхода не решает

проблему. Достаточно легко воспользоваться специализированными программами

копирования или создать свой аналог. Отсюда можно сделать вывод, что

разработка системы с использованием ключевой дискеты не рациональна.

Подобный подход также повлечет массу сложностей. Например, не ясно, что

делать в случае утери или порчи дискеты. Но, по всей видимости, в этом

случае студенту придется проходить тестирование еще один раз, что явно

неприемлемо.

Можно сделать вывод, что без использования специальных аппаратных

средств, данная проблема также не имеет достаточно удовлетворительного

решения. Но к ее решению можно постараться приблизиться, используя

специфические методы хранения состояния (например в реестре и т.п.) и тем

самым усложняя процесс махинации. Но в общем случае это опять не даст

результата, если студент воспользуется виртуальной машиной, созданной,

например, программой WMware.

3. Существует возможность создания универсального редактора файлов

результатов тестирования. Он может использоваться студентом для

корректировки оценок выставленных программой тестирования.

Здесь можно было воспользоваться идеей ключевой дискеты для сохранения

результата. Тем самым модификация результата стала бы весьма

затруднительной. Но этот метод имеет одно ограничение, которое делает его

практически непригодным. Это необходимость использования для передачи

результата дискеты. Т.е. вместо того, чтобы просто отослать результат по

сети, придется доставлять его на дискете.

Но есть другой метод. Это использование шифрования с открытым ключом.

Для краткого ознакомления с шифрованием с использования открытого ключа

обратиться к книге Баpичева Сеpгея "Kpиптогpафия без секретов" [25]:

"Как бы ни были сложны и надежны криптографические системы - их слабое

место при практической реализации - проблема распределения ключей. Для

того, чтобы был возможен обмен конфиденциальной информацией между двумя

субъектами ИС, ключ должен быть сгенерирован одним из них, а затем каким-то

образом опять же в конфиденциальном порядке передан другому. Т.е. в общем

случае для передачи ключа опять же требуется использование какой-то

криптосистемы.

Для решения этой проблемы на основе результатов, полученных

классической и современной алгеброй, были предложены системы с открытым

ключом.

Суть их состоит в том, что каждым адресатом ИС генерируются два ключа,

связанные между собой по определенному правилу. Один ключ объявляется

открытым, а другой закрытым. открытый ключ публикуется и доступен любому,

кто желает послать сообщение адресату. секретный ключ сохраняется в тайне.

Исходный текст шифруется открытым ключом адресата и передается ему.

зашифрованный текст в принципе не может быть расшифрован тем же открытым

ключом. Дешифpование сообщение возможно только с использованием закрытого

ключа, который известен только самому адресату.

криптографические системы с открытым ключом используют так называемые

необратимые или односторонние функции, которые обладают следующим

свойством: при заданном значении x относительно просто вычислить значение

f(x), однако если y=f(x), то нет простого пути для вычисления значения x.

Множество классов необратимых функций и порождает все разнообразие

систем с открытым ключом. Но не всякая необратимая функция годится для

использования в реальных ИС.

В самом определении необратимости присутствует неопределенность. Под

необратимостью понимается не теоретическая необратимость, а практическая

невозможность вычислить обратное значение, используя современные

вычислительные средства за обозримый интервал времени.

Поэтому чтобы гарантировать надежную защиту информации, к системам с

открытым ключом (СОК) предъявляются два важных и очевидных требования:

1. преобразование исходного текста должно быть необратимым и исключать его

восстановление на основе открытого ключа.

2. определение закрытого ключа на основе открытого также должно быть

невозможным на современном технологическом уровне. при этом желательна

точная нижняя оценка сложности (количества операций) раскрытия шифра.

Алгоритмы шифрования с открытым ключом получили широкое

распространение в современных информационных системах. Так, алгоритм RSA

стал мировым стандартом де-факто для открытых систем.

Вообще, все предлагаемые сегодня криптосистемы с открытым ключом

опираются на один из следующих типов необратимых преобразований:

1. Разложение больших чисел на простые множители.

2. Вычисление логарифма в конечном поле.

3. Вычисление корней алгебраических уравнений.

Здесь же следует отметить, что алгоритмы криптосистемы с открытым

ключом (СОК) можно использовать в трех назначениях.

1. Как самостоятельные средства защиты передаваемых и хранимых данных.

2. Как средства для распределения ключей. алгоритмы СОК более трудоемки,

чем традиционные криптосистемы. Поэтому часто на практике рационально с

помощью СОК распределять ключи, объем которых как информации

незначителен. А потом с помощью обычных алгоритмов осуществлять обмен

большими информационными потоками.

3. Средства аутентификации пользователей."

4. Существует возможность создания универсальной программы просмотра файлов

с заданиями и ответами. Таким образом, студент имеет возможность узнать

верные ответы на вопросы в тестах.

Подобной проблемы касается Б.Н. Маутов в статье "Защита электронных

учебников на основе программно-аппаратного комплекса "Символ-КОМ" [26]. Но

ее существенным недостатком является наличие аппаратной части. Что весьма

ограничивает возможность использования системы.

Естественным выходом из данной ситуации является применение

шифрования данных. Но принципиально данную проблему разрешить невозможно.

Студенту необходимо задать вопрос и сверить с ответом, а для этого

необходимо расшифровать данные с эталонными ответами. Для их расшифровки

необходим ключ, который в любом случае надо где-то хранить. Следовательно,

при желании, информацию можно получить в открытом виде.

Побочной проблемой является возможность внесения заинтересованным

лицом несанкционированного изменения баз данных обучающих систем. Данную

проблему затрагивает Тыщенко О.Б., говоря о необходимости применения

паролей или системы паролей [27]. Хотя вопрос рассматривается в статье

несколько с другого ракурса, он пересекается с обсуждаемой проблемой.

Хранение данных в обучающей системе подразумевает возможность их просмотра,

а, следовательно, наличие способа доступа к этим данных.

5. Возможность модификации программного кода системы тестирования с

целью изменения алгоритма выставления оценок.

Как ни странно, но столь важный вопрос защиты практически не освящен.

Почти во всех работах по теме защиты информации в системах дистанционного

обучения он не рассматривается. Отчасти это понятно. Для систем построенных

с использованием сети Internet, его практически не существует. Так как

контролирующая часть находится на стороне сервера, то данная проблема не

актуальна. Для систем дистанционного обеспечения, предназначенных для

локального режима использования, эта проблема практически сводится к широко

известной проблеме защиты ПО от взлома. Очевидно, что это и является

причиной того, что данный вопрос не получает раскрытия в различных работах.

Но это не делает его менее важным.

Вот что, например, пишет Оганесян А. Г. в статье "Проблема

«шпаргалок» или как обеспечить объективность компьютерного тестирования?"

[28]:

"Почти каждый студент, впервые сталкивающийся с новой для него

системой компьютерного тестирования, старается отыскать лазейки,

позволяющие получать завышенные оценки. Поиск идёт широким фронтом и рано

или поздно большинство лазеек обнаруживается и становится достоянием всех

студентов. Бороться с ней не нужно. Более того, полезно поощрять этот

процесс, помогающий отыскивать прорехи в системе компьютерного

тестирования. Для этого, правда, в неё приходится встраивать специальные

механизмы, позволяющие наблюдать за действиями студентов, поскольку не в их

интересах делиться с преподавателем своими находками."

Хотелось бы здесь отметить, что перед тем, как поощрять процесс

отыскивания прорех, надо все-таки создать систему защиты достаточно

высокого уровня. С точки зрения модификации программного кода, данная

статья не предлагает соответствующих методов защиты. Далее, не понятно,

каким образом можно встраивать специальные механизмы, позволяющие наблюдать

за действиями студентов. Точнее, достаточно сложно создание надежного

механизма, за счет которого система дистанционного обучения сообщит о своем

взломе соответствующей системе на стороне преподавателя. Таким образом,

поставленный вопрос весьма важен и требует тщательной проработки.

6. Необходима возможность легкой адаптации уже существующих систем

дистанционного обучения и тестирования. Это в первую очередь связанно с

тем, что под эти системы уже существуют базы с лекциями, тестовыми

заданиями и так далее.

Немаловажным фактором является то, что существующие на данный момент

различные системы автоматизации процесса обучения написаны на разных

языках. Это Visual C++, Delphi и Visual Basic и другие языки.

Следовательно, для взаимодействия с ними нужно удобный и, главное,

поддерживаемый всеми этими языками механизм взаимодействия. Можно

использовать такие средства, как именованные каналы, сокеты. Но

использование таких механизмов хотя и стандартно в ОС Windows, но их

использование совсем не простое. Надо иметь определенные знания по данному

вопросу.

В последнее время широкое применение нашла технология COM. Многие

АСДО, разработанные с ее использованием или с использованием таких ее

разновидностей, как OLE и ActiveX. Для примера приведем слова Романенко

В.В., описывающего создание автоматизированной системы разработки

электронных учебников [29]:

"В системе будут использованы многие современные технологии

программирования, в частности, COM, то есть система будет иметь модульную

структуру, связанную интерфейсами COM. Это сделает систему гибкой, легко

модифицируемой. По таким принципам создаются все современные офисные

приложения."

Можно сделать вывод, что взаимодействие модуля защиты с использованием

технологии COM очень гибко и широко используется для построения модульных

программ. Это очень важно, так как необходимо именно легкое интегрирование

в уже существующие системы.

1.3. Задачи поставленные перед системой защиты

Ранее были перечислены основные проблемы, связанные с организацией

защиты в системах дистанционного обучения и контроля знаний. Был проведен

обзор публикаций по данным вопросам. Попытаемся теперь отделить те задачи,

решение которых лежит вне сферы возможности программных средств и решение

которых относятся к административным средствам контроля. Для остальных

задач попробуем предложить методы их решения и включить поддержку их

решений в функциональность разрабатываемой системы защиты.

К сожалению, первые две проблемы лежат вне сферы возможности

программных средств без применения дополнительного аппаратного обеспечения.

Напомним их.

1. Отсутствие возможности достоверно определить, прошел ли студент

тестирование самостоятельно. Для этой задачи он вполне мог использовать

другого человека (например, более подготовленного студента).

Естественным решением данной проблемы может служить только правильное

построение курса. Процесс контроля знаний следует строить так, чтобы

усложнить процесс подмены дублером. Найти дублера на один тест намного

проще, чем на весь период обучения. Таким образом, мы вынуждены исключить

этот вопрос из списка задач, решение которых должен предоставить

разрабатываемый модуль защиты.

2. Неизвестно, сколько раз студент предпринял попытку пройти

тестирование. Студент имеет возможность устанавливать систему

дистанционного обучения в нескольких экземплярах и/или копировать ее, тем

самым сохраняя ее текущее состояние. Так студент получает возможность

неограниченного количества попыток прохождения тестирования.

Эта задача в чем-то аналогична предыдущей и также, к сожалению, не

имеет программного решения. Решением этой проблемы скорее будет являться

правильное построение системы дистанционного обучения. Например, при

тестировании целесообразно предложить достаточно большое количество

вопросов, наиболее оптимальным выходом является их автоматическая

генерация. Это исключило бы возможность просмотра всех вопросов и пробы

разных вариантов ответов. Примером такой системы может служить система

генерации задач по физике, составляемых по определенным правилам, используя

в качестве значений, предложенных для решения, случайные числа.

3. Существует возможность создания универсального редактора файлов

результатов тестирования. Он может использоваться студентом для

корректировки оценок выставленных программой тестирования.

Здесь на помощь может прийти применение механизма открытых ключей.

Именно такой механизм необходимо будет реализовать в системе защиты.

Отметим, что будет использоваться шифрование с использованием открытого

ключа не в классическом понимании. Метод будет состоять в генерации

полиморфных алгоритмов шифрования/расшифрования. При этом одному алгоритму

шифрования будет соответствовать один алгоритм расшифровки. А воссоздание

алгоритма шифровки/расшифровки по имеющимся в наличии обратного алгоритма

слишком трудоемко. Модуль должен будет обеспечить построении сложного для

анализа полиморфного кода, что должно препятствовать построению обратного

алгоритма.

4. Существует возможность создания универсальной программы просмотра

файлов с заданиями и ответами. Таким образом, студент имеет возможность

узнать верные ответы на вопросы в тестах.

Решение данной проблемы представляется мне не в использовании стойких

криптоалгоритмов, а в способе хранения данных. Одно дело, если все данные

будут храниться в текстовом виде. Потом этот текстовый файл будет просто

подвергнут шифрованию. В этом случае, расшифровав эти данные с

использованием найденного ключа, злоумышленник получит все, что ему надо.

Совсем другое дело, если написать механизм чтения/записи данных,

использующий записи различных типов. Допустим, мы сохраняем сначала блок с

названием работы, потом, сохраняем идентификатор картинки, затем данные

самой картинки, затем данные о правильном ответе, и т.д. И теперь знание

ключа расшифровки мало что дает, т.к. для еще надо знать формат сохраняемых

данных. А взломщик это может узнать только проведя глубокий анализ

внутренней работы ПО. А даже если кто и проведет, и будет знать формат

читаемых/сохраняемых данных, он должен будет создать программу, позволяющую

работать с ними. В силу того, что хранимые данные могут иметь весьма

сложный формат, то это маловероятно. Иначе придется повторить довольно

большую часть неизвестного программного кода.

Дополнительную сложность должен внести генератор алгоритмов

шифрования/расшифрования. Путем хранения данных в пакетах, отдаваемых

студенту, и зашифрованных различными алгоритмами, будет достигаться

дополнительная сложность создания универсальной программы просмотра.

5. Возможность модификации программного кода системы тестирования, с

целью изменения алгоритма выставления оценок или другого кода.

Как ни странно, подсказать решение могут такие программы, как вирусы.

Точнее, полиморфные вирусы. Полиморфной называется программа, каждый штамм

(копия) которой отличается от другого. Два экземпляра такой программы могут

не совпадать ни одной последовательностью байт, но при этом функционально

они являются копиями [30]. Вирусы используют полиморфные генераторы для

усложнения их обнаружения. Для нас полиморфный код интересен по другой

причине. В него очень сложно внести изменения. Точнее, внести исправление в

конкретный экземпляр приложения не представляется большой проблемой, а вот

применить этот метод модификации к другому экземпляру невозможно. Отсюда

следует высокая сложность написания универсального алгоритма, который бы

изменял полиморфную программу так, чтобы она начала функционировать как

этого хочет злоумышленник.

В результате возникает идея построения подсистемы по следующему

описанию. Система представляет из себя файл, который хранится в

зашифрованном виде. Программа-загрузчик расшифровывает его непосредственно

в памяти и затем запускает. Каждый файл зашифрован своим методом, а

следовательно, и простая модификация невозможна.

Возможно создание программы, взламывающей систему тестирования,

базирующуюся на методах динамической модификации памяти программы или на

создании и загрузки слепка данных в память. Но создание подобной программы

уже само по себе весьма сложно и требует высокой квалификации.

6. Необходима возможность легкой адаптации уже существующих систем

дистанционного обучения и тестирования. Это, в первую очередь, связанно с

тем, что под эти системы уже существуют базы с лекциями, тестовыми

заданиями и так далее.

Эта задача полностью лежит в сфере информационных технологий и имеет

достаточно простое решение. В ОС Windows существует механизм, который

позволит легко адаптировать уже существующие системы дистанционного

обучения и тестирования, причем, созданных на различных языках. Он обладает

широкой поддержкой средств разработки и библиотек. Это COM (Component

Object Model). COM - модель компонентных объектов Microsoft [31].

В частности, примером простоты работы с COM-модулями может служить

Visual Basic. В других средствах разработки программного обеспечения этому

механизму уделено много внимания. В Visual C++ существует мощная библиотека

ATL (Active Template Library) для разработки COM-модулей и взаимодействия с

ними. ATL - библиотека активных шаблонов, которая представляет собой

множество шаблонов языка C++, предназначенных для построения эффективных

СОМ-компонентов. Но главное преимущество в том, что для того чтобы

подключить модуль защиты, кроме самой DLL, понадобится только библиотека

типов (TLB файл). Библиотека типов предназначена для предоставления другим

приложениям и средам программирования информации о составных объектах,

которые в ней содержатся.

1.4. Выбор класса требований к системе защиты

Занимаясь разработкой системы защиты, было бы логичным выбрать класс,

к которому она будет принадлежать. Это важно в частности с точки зрения

бедующего пользователя такой системы. Он должен иметь представление о ее

свойствах, надежности и возможной сфере применения. Основополагающими

документами в области информационной безопасности на данный момент

являются:

. Оранжевая книга (TCSEC)

. Радужная серия

. Гармонизированные критерии Европейских стран (ITSEC)

. Рекомендации X.800

. Концепция защиты от НСД Гостехкомиссии при Президенте РФ.

Остановим наше внимание на TCSEC. Оранжевая книга выбрана, как

документ ставший своего рода классическим.

TCSEC, называемый чаще всего по цвету обложки "Оранжевой книгой", был

впервые опубликован в августе 1983 года. Уже его название заслуживает

комментария. Речь идет не о безопасных, а о надежных системах, причем слово

"надежный" трактуется так же, как в сочетании "надежный человек" — человек,

которому можно доверять. "Оранжевая книга" поясняет понятие безопасной

системы, которая "управляет, посредством соответствующих средств, доступом

к информации, так что только должным образом авторизованные лица или

процессы, действующие от их имени, получают право читать, писать, создавать

и удалять информацию".

В "Оранжевой книге" надежная система определяется как "система,

использующая достаточные аппаратные и программные средства, чтобы

обеспечить одновременную обработку информации разной степени секретности

группой пользователей без нарушения прав доступа".

Сразу отметим, что TCSEC для разрабатываемой системы фактически

непригоден. Данный документ разработан с точки зрения безопасности уровня

военных и других государственных служб. В нашем случае, подход с точки

зрения построению столь защищенных систем излишен. Ведь заинтересованным

во взломе разрабатываемой системы скорее всего будет являться студент,

проходящий обучение на защищенной ею АСДО. Следовательно и построение

программно-аппаратной системы является излишним и дорогим занятием. Это

подтверждает малую пригодность использования для классификации такие

документы, как TCSEC. И как мы увидим далее, разрабатываемая система по

классификации TCSEC не предоставляет никакой защиты. То есть система,

адаптированная с ее использованием, защищенной являться не будет.

Основные элементы политики безопасности, согласно "Оранжевой книге",

включают в себя по крайней мере:

. Произвольное управление доступом;.

. Безопасность повторного использования объектов;

. Метки безопасности;

. Принудительное управление доступом.

Произвольное управление доступом — это метод ограничения доступа к

объектам, основанный на учете личности субъекта или группы, в которую

субъект входит. Произвольность управления состоит в том, что некоторое лицо

(обычно владелец объекта) может по своему усмотрению давать другим

субъектам или отбирать у них права доступа к объекту.

Безопасность повторного использования объектов — важное на практике

дополнение средств управления доступом, предохраняющее от случайного или

преднамеренного извлечения секретной информации из "мусора". Безопасность

повторного использования должна гарантироваться для областей оперативной

памяти (в частности, для буферов с образами экрана, расшифрованными

паролями и т.п.), для дисковых блоков и магнитных носителей в целом.

Для реализации принудительного управления доступом с субъектами и

объектами ассоциируются метки безопасности. Метка субъекта описывает его

благонадежность, метка объекта — степень закрытости содержащейся в нем

информации.

Согласно "Оранжевой книге", метки безопасности состоят из двух частей —

уровня секретности и списка категорий. Уровни секретности, поддерживаемые

системой, образуют упорядоченное множество, которое может выглядеть,

например, так:

. совершенно секретно;

. секретно;

. конфиденциально;

. несекретно.

Принудительное управление доступом основано на сопоставлении меток

безопасности субъекта и объекта. Субъект может читать информацию из

объекта, если уровень секретности субъекта не ниже, чем у объекта, а все

категории, перечисленные в метке безопасности объекта, присутствуют в метке

субъекта. В таком случае говорят, что метка субъекта доминирует над меткой

объекта. Смысл сформулированного правила понятен — читать можно только то,

что положено. Субъект может записывать информацию в объект, если метка

безопасности объекта доминирует над меткой субъекта.

Принудительное управление доступом реализовано во многих вариантах

операционных систем и СУБД, отличающихся повышенными мерами безопасности.

Независимо от практического использования, принципы принудительного

управления являются удобным методологическим базисом для начальной

классификации информации и распределения прав доступа.

"Критерии" Министерства обороны США открыли путь к ранжированию

информационных систем по степени надежности. В "Оранжевой книге"

определяется четыре уровня безопасности (надежности) — D, C, B и A. Уровень

D предназначен для систем, признанных неудовлетворительными. По мере

перехода от уровня C к A к надежности систем предъявляются все более

жесткие требования. Уровни C и B подразделяются на классы (C1, C2, B1, B2,

B3) с постепенным возрастанием надежности. Таким образом, всего имеется

шесть классов безопасности — C1, C2, B1, B2, B3, A1.

Разрабатываемая система, не позволит обеспечить уровень даже класса

С1. По этому мы не будем приводить и рассматривать требования,

налагающиеся "Оранжевой книгой" на определенные классы.

1.5. Выводы

Как следует из предыдущего материала, проблема защиты систем

локального дистанционного обучения действительно актуальна и требует к себе

внимания. При этом, к настоящему моменту наработок в этой области очень не

много. Большая часть системы защиты лежит вне сферы возможности

программного обеспечения и требует соответствующей административной

организации и контроля. Что говорит о необходимости разработки

теоретических и практических методик построения локального дистанционного

процесса обучения. Этот раздел, пожалуй, можно отнести к педагогическим

наукам. Но сама по себе педагогика не способна, без поддержки с технической

стороны, построить такую систему дистанционного обучения, которая бы

Страницы: 1, 2, 3, 4, 5, 6