Передача открытой и конфиденциальной информации в локальных и глобальных информационных сетях

   Отсюда следует третья  практическая рекомендация: относиться  сугубо осторожно к любым сертификатам  и отдавать предпочтение тем  продуктам, надежность которых  подтверждена успешным использованием  в мировой финансовой практике. Безопасность в сети Internet

2.2 Средства защиты информации

   Сейчас вряд ли кому-то  надо доказывать, что при подключении  к Internet Вы подвергаете риску безопасность Вашей локальной сети и конфиденциальность содержащейся в ней информации. По данным CERT Coordination Center в 1995 году было зарегистрировано 2421 инцидентов - взломов локальных сетей и серверов. По результатам опроса, проведенного Computer Security Institute (CSI) среди 500 наиболее крупных организаций, компаний и университетов с 1991 число незаконных вторжений возросло на 48.9 %, а потери, вызванные этими атаками, оцениваются в 66 млн. долларов США.

   Одним из наиболее распространенных  механизмов защиты от интернетовских  бандитов - “хакеров” является применение  межсетевых экранов - брэндмауэров (firewalls).

   Стоит отметить, что в следствии непрофессионализма администраторов и недостатков некоторых типов брэндмауэров порядка 30% взломов совершается после установки защитных систем.

   Не следует думать, что  все изложенное выше - “заморские  диковины”.  Всем, кто еще не  уверен, что Россия уверенно догоняет  другие страны по числу взломов  серверов и локальных сетей  и принесенному ими ущербу, следует  познакомиться с тематической  подборкой материалов российской  прессы и материалами Hack Zone (Zhurnal.Ru).

   Не смотря на кажущийся  правовой хаос в расматриваемой области, любая деятельность по разработке, продаже и использованию средств защиты информации регулируется множеством законодательных и нормативных документов, а все используемые системы подлежат обязательной сертификации Государственой Технической Комисией при президенте России.

Прокси сервер.

Работает на «сетевом уровне» нашей  сетевой модели. Как мы помним из предыдущих глав сетевой уровень  обеспечивает наш маршрут пакета от компоненты сети к другой и так до конечного адресата. Прокси-сервер в этой цепочке является конечным адресатом с точки зрения сети, а отосланный пакет доставляет уже от своего имени и по своему маршруту. Таким образом конечный адресат может увидеть лишь данные самого прокси-сервера а не данные истинного отправителя пакета.

 Говоря технически Клиентский  компьютер имеет настройку (конкретной  программы или операционной системы), в соответствии с которой все  сетевые соединения по некоторому  протоколу совершать не на IP-адрес сервера (ресурса), выделяемый из DNS-имени ресурса, или напрямую заданный, а на ip-адрес (и другой порт) прокси-сервера.

При необходимости обращения к  любому ресурсу по этому протоколу, клиентский компьютер открывает  сетевое соединение с прокси-сервером (на нужном порту) и совершает обычный  запрос, как если бы он обращался  непосредственно к ресурсу.

Распознав данные запроса, проверив его  корректность и разрешения для клиентского  компьютера, прокси-сервер, не разрывая соединения, сам открывает новое  сетевое соединение непосредственно  с ресурсом и делает тот же самый  запрос. Получив данные (или сообщение  об ошибке), прокси-сервер передаёт их клиентскому компьютеру.

Таким образом прокси-сервер является полнофункциональным сервером и  клиентом для каждого поддерживаемого  протокола и имеет полный контроль над всеми деталями реализации этого  протокола, имеет возможность применения заданных администратором политик  доступа на каждом этапе работы протокола.

I2P сети.

Работает уже на «транспортом уровне» нашей сетевой модели, используя протокол UDP. При этом это именно сеть. Созданная поверх обычного интернета, или если быть точным, то узлы этой сети могут быть связаны либо физическим соединением, либо логическим, для которого в основной сети существуют один или несколько соответствующих маршрутов из физических соединений. В интернет такой связкой является DNS (Domain Name System — система доменных имён). В I2P система доменных имен своя.

Весь трафик в сети шифруется  от отправителя до получателя.  IP адреса в сети I2P не используются нигде и никогда, поэтому определить истинный адрес какого-либо узла в сети не представляется возможным. Все передаваемые сетевые пакеты имеют свойство расходиться по нескольким разным туннелям (туннель – это совмещение двух разных сетевых протоколов, причем один низкоуровневый протокол вставляется в другой более высокоуровневый), что делает бессмысленным попытки прослушать и  проанализировать  проходящий поток данных. Также происходит периодическая смена (примерно каждые 10 минут) уже созданных туннелей на новые, с новыми цифровыми подписями и ключами шифрования (цифровые подписи и ключи шифрования, разумеется, у каждого туннеля свои).

Анонимность в Internet. 

В качестве аннотации к это главе сазу необходимо заметить, что анонимность необходима не только киберпреступникам (хакерам) или людям которые хотят размещать в интернете материалы экстремистского содержания. Именно благодаря этим категориям людей анонимность также нужна и обычным гражданам, которые так или иначе пользуются интернетом и не хотят, чтобы их данные были использованы третьими лицами в преступных целях.  Например, рассылка сообщений с использованием вашего IP адреса или данных электронной почты.

Так или иначе организация анонимизации связана с вмешательством в процесс взаимодействия шести компонент сетевой модели, поэтому нам она интересна с точки зрения вариантов обмена информацией в сети интернет.

Рассмотрим наиболее популярые  методы, используемые сейчас.  К ним относятся: прокси сервера, I2P сети, Tor сети.

Tor сети.

Работает на сетевом уровне нашей  модели. Позволяет управлять потоками маршрутизации наших пакетов  и также как I2P шифрует трафик открытым ключом.

Безопасность трафика обеспечивается за счёт использования  распределённой  сети   серверов  (нод — «узлов»), называемых «многослойными маршрутизаторами».

Пользователи сети Tor запускают собственный  прокси-сервер на своей машине, данное программное обеспечение подключается к серверам Tor, периодически образуя цепочку сквозь сеть Tor, которая использует криптографию многоуровневым способом. Каждый пакет, попадающий в систему, проходит через три различных прокси-сервера (нода), которые выбираются случайным образом. Перед отправлением пакет последовательно шифруется тремя ключами: сначала для третьего узла, потом для второго, и, в конце концов, для первого. Когда первый узел получает пакет, он расшифровывает «верхний» слой шифра (аналогия с тем, как чистят луковицу) и узнает, куда отправить пакет дальше. Второй и третий сервер поступают аналогичным образом. Внутри сети Tor трафик перенаправляется от одного маршруизатора к другому и окончательно достигает точки выхода, из которой чистый (нешифрованный) пакет уже доходит до изначального адреса получателя (сервера). Трафик от получателя (сервера) обратно направляется в точку выхода сети Tor.

Internet  и Закон.

Специальных законов для интернета  пока не много и еще меньше в  России. При анализе законодательства не стоит забывать, что интернет как таковой  - это инструмент, по крайней мере на существующем уровне. При этом как мы видим из глав выше – это всего лишь инструмент по обмену информацией. Поэтому законодательство ограничивает саму информацию а не способы ее передачи  и интернет здесь не исключение.

Итак, что мы имеем на сегодняшний  день.

Есть глобальные законы – это 

1. Окинавская Хартия глобального информационного общества
2. Конституция Российской Федерации
3. Доктрина информационной безопасности РФ
4. Гражданский кодекс РФ

Законы 

1. Федеральный Закон "О связи"
2. Федеральный Закон "Об электронной цифровой подписи"
3. Федеральный Закон "Об информации, информационных технологиях и о защите информации"
4. Федеральный Закон "О средствах массовой информации"
5. Федеральный Закон "О обязательном экземпляре документов"
6. Федеральный Закон "О рекламе"
7. Федеральный Закон "О коммерческой тайне"

И подзаконные акты

1. Письмо ЦБ РФ от 23 октября 2009 г. N 128-Т "О Рекомендациях по информационному содержанию и организации WEB-сайтов кредитных организаций в сети Интернет"
2. ГОСТ 6.10.4-84. Придание юридической силы документам на машинном носителе и машинограмме, создаваемым средствами вычислительной техники
3. ГОСТ 7.83-2001. Межгосударственный стандарт. СИБИД. Электронные издания. Основные виды и выходные сведения.
4. ГОСТ Р 52292-2004. Информационная технология. Электронный обмен информацией.

Создадим краткое описание основных интересных нам с точки зрения защиты информации законов.

Окинавская Хартия глобального информационного общества.

Принята лидерами стран «Большой Восьмерки». 

(Хартия - не имеющий обязательной  силы международный акт, формулирующий  общие принципы и цели)

Настоящая Хартия является призывом ко всем как в государственном, так  и в частном секторах, ликвидировать  международный разрыв в области  информации знаний. Солидная основа политики и действий в сфере ИКТ может  изменить методы нашего взаимодействия по продвижению социального и  экономического прогресса во всем мире. Эффективное партнерство среди  участников, включая совместное политическое сотрудничество, также является ключевым элементом рационального развития информационного общества.

Конституция Российской федерации.

Специальных терминов не вводит и  как таковой интернет не ограничивает. Однако в рамках главы 2  и статьи 24 можно рассматривать и интернет.

Статья 24

1. Сбор, хранение, использование и  распространение информации о  частной жизни лица без его  согласия не допускаются.

2. Органы государственной власти  и органы местного самоуправления, их должностные лица обязаны  обеспечить каждому возможность  ознакомления с документами и  материалами, непосредственно затрагивающими  его права и свободы, если  иное не предусмотрено законом.

Доктрина информационной безопасности РФ.

(Доктрина - совокупность постулатов, которые служат основой теории)

Понятие интернета как такового не водит, однако ставит четыре составляющих национальных интересов:

1. Соблюдение конституционных прав и свобод человека и гражданина в области получения информации и пользования ею, обеспечение духовного обновления России, сохранение и укрепление нравственных ценностей общества, традиций патриотизма и гуманизма, культурного и научного потенциала страны.
2. Информационное обеспечение государственной политики Российской Федерации, связанное с доведением до российской и международной общественности достоверной информации о государственной политике Российской Федерации, ее официальной позиции по социально значимым событиям российской и международной жизни, с обеспечением доступа граждан к открытым государственным информационным ресурсам.
3. Развитие современных информационных технологий, отечественной индустрии информации, в том числе индустрии средств информатизации, телекоммуникации и связи, обеспечение потребностей внутреннего рынка ее продукцией и выход этой продукции на мировой рынок, а также обеспечение накопления, сохранности и эффективного использования отечественных информационных ресурсов.
4. Защита информационных ресурсов от несанкционированного доступа, обеспечение безопасности информационных и телекоммуникационных систем, как уже развернутых, так и создаваемых на территории России.

Также указывает основные источники  угроз информационной безопасности РФ, особенности обеспечения безопасности и.т.д. Полный текст можно всегда найти в открытых источниках, для  нас он интересен лишь тем, что  в одно из составляющих национальных интересов указано использование  и получение информации гражданами, что сейчас активно реализуется  с использованием интернета.

Гражданский кодекс РФ.

Его четвертая часть  регламентирует права на результаты интеллектуальной деятельности и это наиболее интересная для нас область, потому что большинство  скандалов, связанных с интернетом, связано именно с нарушением авторских  прав.

В данной части кодекса впервые  можно встретить слово «интернет».

Это регламентировано в  статье 1484 «Исключительное право на товарный знак».

«2. Исключительное право на товарный знак может быть осуществлено для индивидуализации товаров, работ или услуг, в отношении которых товарный знак зарегистрирован, в частности путем размещения товарного знака:

5) в сети "Интернет", в том числе в доменном имени  и при других способах адресации.»

А также в статье 1519 «Исключительное  право на наименование места происхождения  товара».

«2. Использованием наименования места происхождения товара считается размещение этого наименования, в частности:

4) в сети "Интернет", в том числе в доменном имени  и при других способах адресации.»

 

Проблема в том, что данный термин не введен для публичного воспроизведения  исполнения или воспроизведения  а также для распространения. Там фигурируют лишь слова «в эфир»  или по «кабелю» таким образом  и было положено яблоко раздора в  авторских правах и интернет в  целом.  Остановимся а этом чуть подробнее.

Из первой части реферата мы можем понять, что интернет – это не вещание информации непрерывно в строго определенное время как радио или телевидение а предоставление данных по запросу пользователя. Пока пользователь не сформирует пакет запроса и ему не придет в ответ пакет с данными никакого вещания нет.

Также и с кабелем, интернет может  быть и беспроводным и радиосигналы не передаются непрерывно всем а только по запросу пользователя.

Видимо именно это и послужило  толчком сделать крайними не ресурсы  с пиратским контентом а самого пользователя, который сформировал  такой вот пиратский запрос , запустив тем самым «вещание» хранившихся  спокойно данных.

 Федеральный Закон "О связи"

Данный закон устанавливает  правовые основы деятельности в области  связи на территории Российской Федерации  и на находящихся под юрисдикцией  Российской Федерации территориях, определяет полномочия органов государственной  власти в области связи, а также  права и обязанности лиц, участвующих  в указанной деятельности или  пользующихся услугами связи.