Шифрование

Разработка системы шифрования

Этот проект предназначен для того, чтобы продемонстрировать использование шифрования в информационной системе для обеспечения аутентификации, конфиденциальности и целостности. В данном проекте подразумевается применение как систем шифрования с секретным ключом (AES), так и систем с открытым ключом (RSA или Диффи-Хеллмана).

В организации, на которую вы работаете, требуется принимать транзакции от партнера. К сожалению, используемая внутри организации система не поддерживает работу с коммерческими VPN, и поэтому в организации создается система шифрования в своем собственном специально разработанном приложении. Вам поручено внести предложения по поводу того, как должна работать система шифрования. В своем текущем состоянии система транзакций принимает TCP-соединение от партнера организации, оценивает поступающие данные и делает соответствующие записи в базе данных. После этого сервер передает подтверждение в систему партнера через то же самое соединение. Информация при передаче должна сохраняться в секрете, а также защищаться от несанкционированного изменения. Сервер должен осуществлять аутентификацию инициатора транзакции, так как только одна система в сети партнера авторизована для инициирования транзакций.

Шаг за шагом

1. Определите конкретные требования для системы шифрования: какая информация должна содержаться в секрете, защищаться от несанкционированного изменения и проходить аутентификацию в рассматриваемой системе.
2. Определите, какой тип шифрования (с открытым или секретным ключом) следует использовать для соответствия каждому требованию.
3. Определите, где необходимо осуществлять шифрование и дешифрование.
4. Определите требования к управлению ключами в системе: каким образом ключи будут создаваться, распространяться, верифицироваться и аннулироваться.
5. Разработав структуру системы, проверьте ее на наличие уязвимых мест. Есть ли в ней места, через которые потенциальный злоумышленник может получить доступ к системе?
6. Проверьте систему на реализуемость. Будет ли система пригодна к использованию на практике?
7. Что потребуется при использовании шифрования от других компонентов системы, политик и процедур обеих организаций?

Выводы

Выбор типа системы шифрования - довольно простая задача. Имейте в виду, что аутентификация может обеспечиваться шифрованием обоих типов, однако при использовании шифрования с секретным ключом имеет место ряд ограничений. Значительно усложнить систему могут аспекты, связанные с управлением ключами. Помните, что здесь речь шла об одной системе, и не требовалась разработка расширяемой и масштабируемой системы.

Не стоит опасаться наложения ограничений на другие аспекты системы. Помните, что шифрование - не панацея, и поэтому его использование подразумевает соответствие этим требованиям при решении некоторых проблем безопасности.

Контрольные вопросы

1. На секретности какого элемента основана защита информации надежными алгоритмами шифрования?
2. Каковы три вида атак на схему шифрования?
3. Как иначе называется шифрование с секретным ключом?
4. Приведите пример раннего подстановочного шифра.
5. Может ли быть взломан правильно реализованный "одноразовый блокнот"?
6. Какую длину имеют ключи DES?
7. В чем заключается основной недостаток DES?
8. За счет чего тройной DES повышает уровень безопасности алгоритма DES?
9. Для чего предназначен алгоритм AES?
10. На сложности какой задачи базируется безопасность, обеспечиваемая алгоритмом Диффи-Хеллмана?
11. Можно ли использовать алгоритм Диффи-Хеллмана для шифрования трафика?
12. Назовите основную атаку, которой подвержен алгоритм Диффи-Хеллмана (с правильно выбранными a и b).
13. Что такое цифровая подпись?
14. Почему открытые ключи должны быть сертифицированными?
15. В чем заключается проблема, связанная с управлением ключами, которая вызывает сбои в большей части систем PKI?