Защита информации от несанкционированного доступа

Содержание

Введение

В настоящее время основным информационным ресурсом является глобальная сеть интернет. В связи с этим растет количество сайтов в международной виртуальной сети. На сегодняшний день многие компании и институты уже имеют корпоративные Web-ресурсы.

В данной работе речь пойдет о сайте кафедры №402 «Радиосистемы управления и передачи информации» факультета радиоэлектроники летательных аппаратов МАИ. Основной целью при создании сайта является предоставление в текстовом, графическом и визуальном виде информации о самой кафедре, предлагаемых специальностях, преподавательском составе и научной деятельности сотрудников кафедры. В то же время большинство посетителей также интересуются тем, как проходит учебный процесс и каким образом можно связаться с руководством кафедры.

Для достижения данной цели на сайте могут быть выложены различные материалы, требующие соблюдения их авторского права. В целях защиты материалов разработано и предложено много методов, среди которых алгоритмы шифрования, стеганографии, запутывания и многие другие. У каждого метода есть свои особенности. Некоторые из них нашли свое практическое применение на различных сайтах.

В качестве объекта исследования рассматривается система защиты содержимого сайта от несанкционированного использования. Предметом исследования выступают алгоритмы, механизмы, методы и способы защиты данных, представленных на сайте.

Целью данного исследования является обзор, анализ и сравнение существующих методов защиты данных для различных форматов файлов, представленных на сайтах, от несанкционированного использования. Выбор наиболее эффективных способов относительно каждого формата. А также адаптация их применительно к сайту кафедры.

Основные задачи исследования:

1. обзор основных форматов файлов, выкладываемых на сайте, и потенциальных возможностей для их защиты;
2. анализ существующих методов защиты различных материалов;
3. разработка оптимальных (самых результативных, наиболее эффективных) способов защиты данных в различных форматах.
4. корректировка системы управления содержимого сайта в целях обеспечения защиты публикуемых данных.

В качестве результата работы будут представлены наиболее эффективные методы защиты представленных на сайтах материалов в различных форматах. Что позволит расширить нормативно - материальную базу сайта кафедры, распространение которой будет происходить с соблюдением авторских прав ее собственника.

Список используемых сокращений

ГЛАВА 1

Обзор основных форматов документов, размещаемых на сайте

Все основные материалы, которые могут быть представлены на сайте, можно выделить в следующие группы:

• изображения;
• разнообразные текстовые документы (гипертексты, учебные пособия и раздаточный материал к занятиям);
• различные аудио- и видео курсы.

Для данной цели существует множество форматов. Однако стоит отметить, что на весь материал, представленный на сайте, следует наложить некоторые ограничения:

1. Материал должен быть привлекательным для пользователей, грамотно организованным и оптимизированным, также должен обладать свойством уникальности.
2. Материал должен содержать в себе отличительный знак принадлежности к данному сайту (в целях защиты авторского права).
3. Материал должен быть защищен от несанкционированного использования посторонними пользователями (копирования, искажения, удаления).

За качество представления материала отвечает формат документа. В целях защиты материалов разработано много методов, среди которых методы шифрования, стеганографии, запутывания и др. При размещении того или иного файла на сайте, необходимо учесть вышеуказанные факторы.

1.1 ФОРМАТЫ МАТЕРИАЛОВ, РАЗМЕЩАЕМЫХ  НА САЙТАХ

Существует множество различных форматов файлов. Они отображают, изображения (графические объекты), текст, аудио- и видео- информацию.

1. Распространенные форматы для отображения изображений и графических объектов.

Существуют два типа графических файлов, это растровый и векторный, которые имеют различные форматы. На сайтах используются следующие форматы графических файлов: *.jpg, *.tif, *.gif, *.png,.

JPEG (или JPG)

Это самый распространенный формат графических файлов, т.к. обладает гибкой возможностью сжатия данных. При необходимости изображение можно сохранить с максимальным качеством. Либо сжать его до минимального размера файла для передачи по сети. В JPEG применяется алгоритм сжатия с потерей качества.

На практике, сохранение фотографии с минимальной степенью сжатия не дает видимого ухудшения качества изображения. Именно поэтому JPG – самый распространенный и популярный формат хранения графических файлов.

TIFF (Tagged Image File Format)

Формат TIFF — формат хранения растровых графических изображений. Он позволяет сохранять фотографии в различных цветовых пространствах (RBG, CMYK, YCbCr, CIE Lab и пр.) и с большой глубиной цвета (8, 16, 32 и 64 бит). TIFF используется при сканировании, отправке факсов, распознавании текста, в полиграфии, широко поддерживается графическими приложениями.

Имеется возможность сохранять изображение в файле формата TIFF со сжатием и без сжатия. Степени сжатия зависят от особенностей самого сохраняемого изображения, а также от используемого алгоритма.

В отличие от JPG, изображение в TIFF не будет терять в качестве после каждого сохранения файла. Но, к сожалению, именно из-за этого TIFF файлы весят в разы больше JPG.

GIF (Graphics Interchange Format)

Формат GIF способен хранить сжатые растровые графические изображения без потери качества в формате до 256 цветов. Включает алгоритм сжатия без потерь информации, позволяющий уменьшить объем файла в несколько раз.

Изображение в формате GIF хранится построчно, поддерживается только формат с индексированной палитрой цветов. Рекомендуется для хранения; изображений, создаваемых программным путем и анимаций с oгpaниченным количеством цветов.

PNG (Portable Network Graphics)

Растровый формат хранения графической информации, использующий сжатие без потерь. PNG был создан как для улучшения, так и для замены формата GIF графическим форматом, не требующим лицензии для использования.

В отличие от GIF, у PNG есть поддержка альфа-канала и возможность хранить неограниченное количество цветов.

PNG сжимает данные без  потерь, что делает его очень  удобным для хранения промежуточных  версий обработки изображений. Используется  для размещения графических изображений  на Web-страницах в Интернете.

2. Распространенными форматами для отображения текстовых файлов служат: *.doc, *.rtf, *.txt, *.html, *xml.

DOC (Document)

В отличие от простых текстовых форматов, doc-файлы могут содержать не только текст, но и параметры его форматирования (тип и кегль шрифта, расположение тех или иных абзацев на странице и так далее), а также встроенные таблицы, иллюстрации и даже звуки. Создавать, редактировать и изменять такие файлы можно с помощью нескольких текстовых редакторов (Microsoft Word, Microsoft Works, StarOffice, Лексикон). Стоит отметить, что существует несколько разновидностей формата doc, и нет никакой гарантии, что файл, созданный с помощью Word 2000, можно редактировать в Лексиконе или даже более ранней версии того же Word. Именно поэтому в качестве альтернативы doc-файлам часто используется формат rtf.

RTF (Rich Text Format)

В отличие от doc, файлы rtf могут корректно распознаваться большинством текстовых редакторов, включая все версии Word, Лексикон, StarOffice и т. д. Для обеспечения совместимости приходится ограничивать функциональные возможности, т.е. в файле RTF невозможно корректно сохранить некоторые виды таблиц, иллюстраций и др. Также файлы формата rtf могут иметь стандартное разрешение doc.

TXT (Text)

Данный простой текстовый файл, в отличие от doc или rtf, содержит только текст без форматирования и дополнительных вставок. Для работы с txt-файлами в состав ОС Windows входит специальная программа текстовый редактор Блокнот.

HTML (HyperText Markup Language)

Данный формат является стандартным языком разметки документов в сети  Интернет. Большинство веб-страниц создаются при помощи языка HTML. В отличие от обычных текстовых документов, они могут содержать в себе ссылки на другие страницы (гиперссылки) или объекты.

HTML является приложением SGML (стандартного  обобщённого языка разметки) и соответствует международному стандарту ISO 8879.

XML (eXtensible Markup Language)

XML текстовый формат, предназначенный  для хранения структурированных  данных (взамен существующих файлов баз данных), для обмена информацией между программами, а также для создания на его основе более специализированных языков разметки (например, XHTML). XML является упрощённым подмножеством языка SGML.

1.1.3. Самыми распространенными  форматами для аудио- и видео- данных является *.mp3, *.avi, *.flv.

MP3 (MPEG I Layer III)

Технология компрессии MPEG I Layer III позволяет сжать звуковую информацию в несколько раз с минимальной потерей качества. Ее появление повлекло за собой возникновение большого количества контрафактных компакт-дисков и специализированных сайтов Интернета, содержащих файлы этого формата.

AVI (Audio Video Interleave)

Формат предназначен для хранения анимаций или видеоинформации. Раньше в формате avi можно было сохранять лишь короткие видеоролики. Сегодня, с появлением новых методик сжатия видеоинформации (MPEG-4), в виде avi-файлов распространяются уже целые фильмы. Воспроизвести их можно с помощью стандартного проигрывателя Windows (Windows Media Player).

FLV (Flash Video File)

Flash-совместимый видео-файл, который содержит короткий заголовок, аудио, видео и метаданные. Формат аудио и видеоданных похож на стандартный формат Flash - .SWF. FLV-файл — это битовый поток, который является вариантом видеостандарта H.263. Звук в FLV, как правило, закодирован в MP3. Формат FLV получил наибольшее распространение в Интернете. Чаще всего в файлах данного формата храниться потоковое видео для затруднения скачивания видеоконтента. Для воспроизведения файлов необходимо установить видеокодеки FLV или использовать программы, предназначенные для просмотра FLV файлов. В настоящее время практически вся медиа информация представлена в данном формате, поскольку он содержит в себе множество кодеков для воспроизведения различных аудио- и  видео- форматов.

1.1.4. Прочие специализированные  форматы.

1. Прочие форматы *.pdf, *.DjVu, *.rar, *.zip.

PDF (Portable Document Format)

Кроссплатформенный формат электронных документов, созданный фирмой Adobe Systems с использованием ряда возможностей языка PostScript. В первую очередь предназначен для представления в электронном виде полиграфической продукции. Для просмотра можно использовать официальную бесплатную программу Adobe Reader, а также программы сторонних разработчиков. Традиционным способом создания PDF-документов является виртуальный принтер.

PDF с 1 июля 2008 года является открытым стандартом ISO 32000.

DjVu

Данный формат применяет технологию сжатия изображений с потерями, разработанную специально для хранения сканированных документов — книг, журналов, рукописей и прочее, где обилие формул, схем, рисунков и рукописных символов делает чрезвычайно трудоёмким их полноценное распознавание.

DjVu стал основой для нескольких  библиотек научных книг. Огромное количество книг в этом формате доступно в файлообменных сетях.

RAR (Roshal Archiver)

Распространённый проприетарный формат сжатия данных и программа-архиватор. Формат разработан российским программистом Евгением Рошалом Он написал программу-архиватор для упаковки/распаковки RAR, изначально под DOS, затем и для других операционных систем. Версия для ОС Microsoft Windows распространяется в составе многоформатного архиватора с графическим интерфейсом WinRAR.

ZIP

Популярный формат сжатия данных и архивации файлов. Файл в этом формате хранит в сжатом или несжатом виде один или несколько файлов, которые можно из него извлечь путём распаковки с помощью специальной программы.

2. Обособленно стоит отметить форматы пакета Microsoft Office: *.doc, *.xls, *.ppt.

Стандартный пакет Microsoft Office содержит несколько программных продуктов. Однако на сайтах используются немногие из них. Формат текстовых документов, представленный ПО Microsoft Office Word, был рассмотрен ранее.

Также стоит рассмотреть формат ПО Microsoft Office Excel, предназначено для работы с электронными таблицами. Продукт Microsoft Office Excel предоставляет возможности экономико-статистических расчетов, графические инструменты и язык макропрограммирования VBA (Visual Basic для приложений).

Программное обеспечение Microsoft Office PowerPoint необходимо для создания динамичных и эффектных презентаций. Microsoft Office PowerPoint содержит широкий диапазон функций управления графикой, текстом и стилями, что обеспечивает профессиональный подход к разработке слайдов.

1.2 АНАЛИЗ ФОРМАТОВ ФАЙЛОВ, ПРЕДСТАВЛЕННЫХ  НА САЙТЕ РАЗЛИЧНЫХ ИНСТИТУТОВ

В ходе работы были просмотрены несколько сайтов различных институтов. Среди которых:

1. МГУ им. Ломоносова М.В (www.msu.ru)
2. МГИМО (www.mgimo.ru)
3. МГТУ им. Н.Э. Баумана (www.bmstu.ru)
4. МФТИ (ГУ) (www.pipt.ru)
5. МИФИ (www.mephi.ru)
6. МАИ (ТУ) (www.mai.ru)

Проанализированы форматы представленных на них материалов. Результатом данного анализа может служить рис. 1.1. Более детальное использование форматов представлено в табл. 1.1.

Рис. 1.1 Процентное соотношение типов файлов на сайте

Таблица 1.1 Процентное соотношение форматов материалов, размещаемых на сайте.

При выборе конкретного формата файла для преставления его на сайте важную роль играет не только критерий привлекательности для пользователя, но и критерий возможности защиты файла. Для рассмотрения данного вопроса необходимо установить основные угрозы, которым может подвергнуться материал, размещенный на сайтах. Этому вопросу посвящена следующая глава.

В первой главе были рассмотрены различные форматы файлов и степени их защищенности с помощью стеганографических методов. Исходя из данного обзора, можно выделить те форматы файлов, размещение которых на сайте позволит обеспечить представление информации в удобном для пользователя виде, а также позволит защитить авторские или имущественные права на цифровые изображения, фотографии или другие оцифрованные произведения, опубликованные на сайте.

Для предоставления информации на сайтах я рекомендую использовать следующие форматы:

1. Графические данные: *.gif, *.png и *.jpg.
2. Текстовые данные: *.doc, *.html.
3. Аудио-, видео- данные: *.flv.
4. Прочие форматы представлять в архивах: *.rar.

ГЛАВА 2

Анализ потенциальных уязвимостей размещенных на сайте материалов

При проектировании любого сайта необходимо учитывать потенциальные угрозы на него и уязвимости его содержимое. Данная информация позволит разработать эффективную систему защиты web-ресурса.

2.1 ВОЗМОЖНЫЕ УГРОЗЫ САЙТАМ

Атаки на сайт могут производиться различными способами, с разными мотивами. Можно выделить основные цели атак:

• выведение web-ресурса из нормального рабочего состояния;
• получение конфиденциальной информации;
• несанкционированное использование материалов, выложенных на сайте, в личных целях.

Возможные способы взлома сайта можно разделить на три группы.

а) Захват контроля над web-сервером, на котором расположен сайт.

Если сайт размещен на условиях хостинга, то при таком способе взлома угрозе подвергаются все ресурсы, расположенные на данном хостинге. Однако вероятность подобного взлома невысока, поскольку компании, предоставляющие подобные услуги, обычно хорошо прорабатывают вопросы безопасности своих ресурсов.

Примером данного атак данной группы может служить DoS атака.

DoS-атака (от англ. Denial of Service — «отказ в обслуживании») и DDoS-атака (Distributed Denial of Service — «распределённый отказ обслуживания») — это разновидности атак злоумышленника на компьютерные системы. Целью этих атак является создание таких условий, при которых легитимные (правомерные) пользователи системы не могут получить доступ к предоставляемым системой ресурсам, либо этот доступ затруднён. Разница же между обычным (DoS) отказом в обслуживании и распределённым (DDoS) состоит в географии трафика: обычный DoS (трафик, приводящий к отказу) приходит с одного компьютера, распределённый — из множества. Схема DoS атаки показана на рис. 2.1.

Рис2.1 Схема DoS атаки.

Простейший тип DoS – лавинная рассылка пакетов (packet flooding). Атакующий или группа атакующих посылают серверу управляющие пакеты Internet Control Message Packets (ICMP), требуя ответа. Сервер начинает посылать ответы на эти запросы. Если запросы поступают чаще, чем сервер успевает их обработать, скапливаются необработанные запросы, что приводит к существенному замедлению работы сервера или полному его отказу. Часто стоит потратить немного средств и времени, чтобы уменьшить риск подобной атаки.

б) Получение авторизационных данных для доступа к сайту (логин и пароль к FTP-аккаунту или к управляющей панели).

Злоумышленник может воспользоваться ими в целях изменения сайта или похищения с него информации. При этом никакие системы безопасности самого ресурса не смогут ему воспрепятствовать, т.к. для них действия злоумышленника будут абсолютно законными (выполняются после легального прохождения авторизации). Логины и пароли для работы с сайтом можно получить как с помощью социальной инженерии, так и с помощью атаки на те компьютеры, где эти данные могут быть сохранены или перехвата передаваемых данных.

Одной из разновидностью такой атаки является фишинг (phishing).

Фишинг — вид интернет - мошенничества, целью которого является получение доступа к конфиденциальным данным пользователей — логинами паролям. Это достигается путём проведения массовых рассылок электронных писем от имени популярных брендов, а также личных сообщений внутри различных сервисов, например, от имени банков (Ситибанк, Альфа-банк), сервисов (Rambler, Mail.ru) или внутри социальных сетей (Facebook, Вконтакте, Одноклассники.ru). В письме часто содержится прямая ссылка на сайт, внешне неотличимый от настоящего, либо на сайт с редиректом. После того, как пользователь попадает на поддельную страницу, мошенники пытаются различными психологическими приёмами побудить пользователя ввести на поддельной странице свои логин и пароль, которые он использует для доступа к определенному сайту, что позволяет мошенникам получить доступ к аккаунтам и банковским счетам.

Фишинг — одна из разновидностей социальной инженерии, основанная на незнании пользователями основ сетевой безопасности: в частности, многие не знают простого факта: сервисы не рассылают писем с просьбами сообщить свои учётные данные, пароль и прочее. Схема фишинга приведена на рис. 2.2.

Рис. 2.2 Схема фишинга.

в) Получение доступа к сайту посредством уязвимостей в программном обеспечении.

Если на сайте установлены какие-либо программные пакеты, код которых выполняется на web-сервере (например, CMS, форум или чат, картинная галерея, интернет-магазин), то они всегда потенциально опасны с точки зрения взлома. Если в программном комплексе есть уязвимость, то взломщик с помощью правильно составленного запроса к сайту может узнать пароли для управления сайтом или форумом или разместить на сайте свою программу, которая позволит загружать на сайт свои файлы, удалять и менять любые данные.

Против каждой из этих угроз есть своя защита, которую нужно грамотно применять.

Примерами таких атак на сайты может служить Межсайтовый скриптинг (Сross Site Sсriрting).

XSS («межсайтовый скриптинг») — тип уязвимости интерактивных информационных систем в Web. XSS возникает, когда в генерируемые сервером страницы по какой-то причине попадают пользовательские скрипты. Специфика подобных атак заключается в том, что вместо непосредственной атаки сервера они используют уязвимый сервер в качестве средства атаки на клиента. Алгоритм XSS показан на рис. 2.3.