Достоинства и недостатки симметричного и асимметричного методов шифрования

На сегодняшний день в сфере ИБ широко представлены системы как с симметричным шифрованием, так и с асимметричным. Каждый из алгоритмов имеет свои преимущества и недостатки, о которых нельзя не сказать.

Основной недостаток симметричного шифрования заключается в необходимости публичной передачи ключей – "из рук в руки". На этот недостаток нельзя не обратить внимание, так как при такой системе становится практически невозможным использование симметричного шифрования с неограниченным количеством участников. В остальном же алгоритм симметричного шифрования можно считать достаточно проработанным и эффективным, с минимальным количеством недостатков, особенно на фоне асимметричного шифрования. Недостатки последнего не столь значительны, чтобы говорить о том, что алгоритм чем-то плох, но тем не менее.

Первый недостаток ассиметричного шифрования заключается в низкой скорости выполнения операций зашифровки и расшифровки, что обусловлено необходимостью обработки ресурсоемких операций. Как следствие, требования к аппаратной составляющей такой системы часто бывают неприемлемы.

Другой недостаток – уже чисто теоретический, и заключается он в том, что математически криптостойкость алгоритмов асимметричного шифрования пока еще не доказана.

Дополнительные проблемы возникают и при защите открытых ключей от подмены, ведь достаточно просто подменить открытый ключ легального пользователя, чтобы впоследствии легко расшифровать его своим секретным ключо Какими бы недостатками и преимуществами ни обладало ассиметричное и симметричное шифрование, необходимо отметить лишь то, что наиболее совершенные решения– это те, которые удачно сочетают в себе алгоритмы обоих видов шифрования.

17. Личный ключ для шифрования. Цифровая подпись, ее технология.

Личный ключ (Закрытый ключ) — сохраняемый в тайне компонент ключевой пары, применяющейся в асимметричных шифрах, т. е. таких шифрах, в которых для прямого и обратного преобразований используются разные ключи. В отличие от закрытого ключа, другой компонент ключевой пары — открытый ключ, как правило, не хранится в тайне, а защищается от подделки и публикуется. Закрытый ключ применяется при вычислении электронной цифровой подписи. Помимо применения надёжных шифров и ключевых носителей, важным условием обеспечения безопасности при использовании закрытого ключа является его непредсказуемость, которая достигается путём использования качественных датчиков случайных чисел. Как правило, смарт-карты и HSM содержат в себе качественные датчики случайных чисел и механизмы, позволяющие осуществлять асимметричные криптографические преобразования. Благодаря этому закрытый ключ может генерироваться и использоваться только внутри смарт-карты или HSM.

Электронная цифровая подпись (ЭЦП) – реквизит электронного документа, предназначенный для удостоверения источника данных и защиты данного электронного документа от подделки. Электронная цифровая подпись представляет собой последовательность символов, полученную в результате криптографического преобразования электронных данных. ЭЦП добавляется к блоку данных, позволяет получателю блока проверить источник и целостность данных и защититься от подделки. ЭЦП используется в качестве аналога собственноручной подписи.

Благодаря цифровым подписям многие документы – паспорта, избирательные бюллетени, завещания, договора аренды – теперь могут существовать в электронной форме, а любая бумажная версия будет в этом случае только копией электронного оригинала.

Основные термины, применяемые при работе с ЭЦП

Закрытый ключ – это некоторая информация длиной 256 бит, которая хранится в недоступном другим лицам месте на дискете, смарт-карте, touch memory. Работает закрытый ключ только в паре с открытым ключом.

Открытый (public) ключ используется для проверки ЭЦП получаемых документов-файлов; технически это некоторая информация длиной 1024 бита. Открытый ключ работает только в паре с закрытым ключом.

Код аутентификации – код фиксированной длины, вырабатываемый из анных с использованием секретного ключа и добавляемый к данным с целью обнаружения факта изменений хранимых или передаваемых по каналу связи данных.

Средства электронно-цифровой подписи – аппаратные и/или программные средства, обеспечивающие:

Создание электронной цифровой подписи в электронном документе с спользованием закрытого ключа электронной цифровой подписи;

подтверждение с использованием открытого ключа электронной цифровой подписи подлинности ЭЦП в электронном документе;

создание закрытых и открытых ключей электронных цифровых подписей

 

18. Алгоритмы шифрования DES, тройной DES. Сравнение методов шифрования.

 

DES (Data Encryption Standard) — симметричный алгоритм шифрования, разработанный фирмой IBM. DES имеет блоки по 64 бита и 16 цикловую структуру сети Фейстеля, для шифрования использует ключ с длиной 56 бит. Алгоритм использует комбинацию нелинейных (S-блоки) и линейных (перестановки E, IP, IP-1) преобразований. Для DES рекомендовано несколько режимов: *режим электронной кодовой книги (ECB — Electronic Code Book), *режим сцепления блоков (СВС — Cipher Block Chaining), *режим обратной связи по шифротексту (CFB — Cipher Feed Back), *режим обратной связи по выходу (OFB — Output Feed Back).

Основные достоинства алгоритма DES: * используется только один ключ длиной 56 битов; *зашифровав сообщение с помощью одного пакета, для расшифровки вы можете использовать любой другой; *относительная простота алгоритма обеспечивает высокую скорость обработки информации; *достаточно высокая стойкость алгоритма.

DES осуществляет шифрование 64-битовых блоков данных с помощью 56-битового ключа. Расшифрование в DES является операцией обратной шифрованию и выполняется путем повторения операций шифрования в обратной последовательности (несмотря на кажущуюся очевидность, так делается далеко не всегда. Позже мы рассмотрим шифры, в которых шифрование и расшифрование осуществляются по разным алгоритмам).

Triple DES (3DES) — симметричный блочный шифр, созданный Уитфилдом Диффи, Мартином Хеллманом и Уолтом Тачманном в 1978 году на основе алгоритма DES, с целью устранения главного недостатка последнего — малой длины ключа (56 бит), который может быть взломан методом полного перебора ключа. Скорость работы 3DES в 3 раза ниже, чем у DES, но криптостойкость намного выше — время, требуемое для криптоанализа 3DES, может быть в миллиард раз больше, чем время, нужное для вскрытия DES. 3DES используется чаще, чем DES, который легко взламывается при помощи сегодняшних технологий. 3DES является простым способом устранения недостатков DES. Алгоритм 3DES построен на основе DES, поэтому для его реализации возможно использовать программы, созданные для DES.

3DES с тремя ключами реализован во многих приложениях, ориентированных на работу с Интернет, в том числе в PGP и S/mime. Тройной DES является довольно популярной альтернативой DES и используется при управлении ключами в стандартах ANSI X9.17 и ISO 8732 и в PEM (Privacy Enhanced Mail). ем не менее, 3DES (который ещё обозначают как TDES) понемногу выходит из употребления, заменяемый новым алгоритмом AES Rijndael. Rijndael, реализованный программно, работает в шесть раз быстрее. Поэтому 3DES больше подходит для аппаратных реализаций.

Наибольшее применение в прикладных системах нашел вариант 3DES/Triple DES, использующий 2 ключа длиной 56 бит каждый (8-й бит -- четности): исходный открытый текст шифруется первым ключом, полученный результат расшифровывается вторым, полученный результат (т.е.полная бессмыслица) повторно шифруется первым ключом. Таким образом, длина ключа в алгоритме 3DES составляет 112 (2*56) бит.

19. Защита коммерческой информации в Интернете SHTTP, SET, SSL.

HTTPS (HyperText Transfer Protocol Secure) — расширение протокола HTTP, поддерживающее шифрование. Данные, передаваемые по протоколу HTTP, «упаковываются» в криптографический протокол SSL или TLS.

Протокол был разработан компанией Netscape Communications для браузера Netscape Navigator в 1994 году.

SSL (англ. Secure Sockets Layer — уровень защищённых сокетов) — криптографический протокол, который обеспечивает безопасность связи. Протокол SSL был создан для обеспечения безопасного обмена зашифрованными сообщениями по Интернету Он использует асимметричную криптографию для аутентификации ключей обмена, симметричное шифрование для сохранения конфиденциальности, коды аутентификации сообщений для целостности сообщений. Протокол широко используется для обмена мгновенными сообщениями и передачи голоса через IP (англ. Voice over IP - VoIP), в таких приложениях, как электронная почта, Интернет-факс и др.

SSL изначально разработан компанией Netscape Communications для добавления протокола HTTPS в свой веб-браузер Netscape Navigator. Впоследствии, на основании протокола SSL 3.0 был разработан и принят стандарт RFC, получивший имя TLS.

Протокол SET используется для осуществления операций с кредитными карточками. Протокол был разработан совместными усилиями Visa, MasterCard, Microsoft и Netscape. Использование протокола SET способствует обеспечению необходимого уровня безопасности платежных операций. Протокол SET по сравнению с SSL имеет более узкую специализацию. SET расшифровывается как Secure Electronic Transaction (безопасные электронные транзакции) и представлен набором правил и протоколов безопасности. Протокол SET используется для аутентификации транзакций, осуществляемых по кредитной или дебетовой карте в сети интернет. Это способствует проведению безопасных платежных операций, используя расчетные карты в интернете. Все операции, осуществляемые через протокол SET, производятся в зашифрованном виде, что способствует повышенной конфиденциальности транзакций. Протокол SET позволяет безопасно передавать платежные данные покупателя продавцу и реализует другие операции по защите предоставленной информации. Для поддержки SET необходимо следующее программное обеспечение:

- “электронный бумажник” (Wallet), выдаваемый интернетпокупателю бесплатно (или за символическую плату);

- “SETсервер продавца” (платежный сервер, устанавливаемый на вебсайте интернет-магазина и интегрируемый с последним);

- “SETшлюз” для банка или процессинговой компании.

Каждый этап реализации протокола SET сопровождается аутентификацией, что препятствует мошенничеству.

20. Основы мобильной коммерции, ее развитие в мире.

Мобильная коммерция (другие названия M-Commerce, mCommerce) — общее название для различных коммерческих сервисов (кроме услуг связи), использующих мобильный телефон в качестве основного интерфейса пользователя.

Процесс осуществляется с помощью карманных компьютеров или smart-фонов через удаленное (Интернет, GPRS и т. д.) соединение. Мобильная коммерция, как правило, представляет собой программно-аппаратное решение по автоматизации процессов взаимодействия с удаленными пользователями[2].

Встречается название мобильная торговля — бизнес-решение, тесно интегрированное с системами автоматизации торговли и предназначенное в первую очередь для автоматизации сбора заказов. Иногда термин мобильная торговля (мобильные продажи) трактуют более широко и употребляют в качестве синонима мобильной коммерции вообще.

1997 году на улицах Хельсинки, столицы Финляндии, были установлены два автомата компании Кока-Кола по продаже напитков с помощью SMS. Тогда же клиентам Merita bank of Finland стали доступны услуги мобильного банкинга.

В 1998 году стала возможной продажа цифрового контента с помощью мобильного телефона, когда финским сотовым оператором Radionlinja был запущен коммерческий сервис по продаже рингтонов.

Год спустя компанией Smart на Филиппинах была запущена национальная платформа мобильных платежей Smart Money. Почти одновременно с этим NTT DoCoMo запустила в Японии первую мобильную интернет-платформу, получившую название i-Mode[3].

Осенью 1999 года France Telecom объявила об открытии защищенной системы e-коммерции на базе мобильной связи под названием «Iti Achat». Услуга позволяет абонентам системы GSM, принадлежащей France Telecom, осуществлять покупки, как через Интернет, так и по мобильному телефону. Встроенный в трубку GSM считыватель кредитных карточек гарантирует защищенность системы.

В ноябре 1999 года компания Millicom International Cellular (Люксембург), объявила о выпуске устройства GiSMo, позволяющего производить безопасные платежи в Интернет с помощью мобильного телефона. Покупатель предоставляет номер своего мобильного телефона продавцу, который, используя выделенный канал в Интернет, передает полученный номер в операционный центр GiSMo, где на основании полученных данных формируется персональный идентификационный код. Этот код передается и на мобильный телефон покупателя. Покупатель должен предоставить продавцу полученный код для сверки. Счета ежемесячно высылаются клиентам по e-mail.

Мобильный банкинг подразумевает управление банковским счетом с использованием мобильного телефона в качестве средства идентификации владельца банковского счета. При осуществлении платежных трансакций используются денежные средства, находящиеся на банковском счете.

Мобильные платежи (м-платежи) подразумевают совершение платежа при помощи мобильного телефона с использованием денежных средств, размещенных на предоплаченных счетах мобильного оператора. Мобильные платежи осуществляются без использования банковских счетов пользователя и доступны абонентам не имеющим собственного банковского счета.

 

 

21. Мобильные аппараты, виды ОС для МА.

Мобильный аппарат — со́товый телефо́н, предназначенный для работы в сетях сотовой связи; использует приёмопередатчик радиодиапазона и традиционную телефонную коммутацию для осуществления телефонной связи на территории зоны покрытия сотовой сети.

В настоящее время сотовая связь — самая распространённая из всех видов мобильной связи, поэтому обычно мобильным телефоном называют именно сотовый телефон, хотя мобильными телефонами, помимо сотовых, являются также спутниковые телефоны, радиотелефоны и аппараты магистральной связи.

Существует много видов ОС для телефонов, cреди них: Symbian, Android, Apple iOS, Blackberry OS, ОС Windows,

Symbian открытая ОС, многозадачность, поддержка Java, хорошая реализация пакетной передачи данных, высокая надёжность ОС, устойчивость к падениям и отдельным ошибкам, медленный SDK, полностью объектно-ориентированная архитектура, разграничение API

Windows Mobile: многозадачность, большие возможности по расширению, ориентирована на работу с мультимедийными приложениями, совместимость с Windows, требовательна к оперативной памяти, имеет базовый набор приложений, разработанных с использованием Microsoft Win32 API, доступна свободная разработкапрограмм

Linux/Android: бесплатна, общедоступность кода, слабые мультимедийные возможности

Apple iOS: многозадачность появилась только в последних версиях, нет поддержки Flash, Java

 

22. Виды оплаты товаров (услуг) с мобильного телефона.

 

Моби́льный платёж — альтернативный метод оплаты товаров и услуг с помощью мобильного телефона.

Мобильные платежи (м-платежи) подразумевают совершение платежа при помощи мобильного телефона с использованием денежных средств, размещенных на предоплаченных счетах мобильного оператора. Мобильные платежи осуществляются без использования банковских счетов пользователя и доступны абонентам не имеющим собственного банковского счета.

Преимущества мобильного платежа: удобство оплаты, экономия времени, безопасность платежей, огромный выбор для оплаты услуг, для оплаты требуется только мобильное устройство и интернет.

Сейчас существует несколько популярных моделей осуществления мобильных платежей:

· Мобильная коммерция

· Оплата посредством отправки Premium SMS

· Near Field Communication (NFC)

Мобильная коммерция (mCommerce) — общее название для различных коммерческих сервисов (кроме услуг связи), использующих мобильный телефон в качестве основного интерфейса пользователя (направления: моб.банкинг (используются ден.ср-ва, находящиеся на банковском счете) и моб.платеж)

Premium-SMS

Существует отдельно тарифицируемый тип SMS, используемый для получения каких-либо платных услуг. Сообщение при этом отправляется на один из специальных коротких номеров, и, как правило, содержит в себе данные, необходимые для получения услуги (код услуги, дополнительную информацию). Сообщение оплачивается по специальному тарифу при отправлении (обычно существенно дороже стоимости стандартного SMS, так как в стоимость включена стоимость самой услуги). После отправки и списания средств с лицевого счёта абонент, как правило, получает доступ к услуге, например, в виде SMS со ссылкой на WAP-страницу с мелодией, картинкой или игрой.

. С помощью NFC возможно следующие применения:

Мобильная покупка в общественном транспорте— расширение существующей бесконтактной инфраструктуры.

Мобильные платежи — устройство действует как платёжная карта ^[2].

 

 

23. Организация системы электронной коммерции на базе eClass.

e-cl@ss-все товары или услуги описаны опред.набором атрибутов и определяют класс.

Для упорядочения большого кол-ва элементов исп. 2 логич.схемы построения:иерархическая модель и модель построения по ключевому слову.

Для построения системы e-cl@ss использ.иерархич.модель построения.

Групппировка тов-в производится в соотв.с логич.схемой,

учитывающей детализированные характеристики и атрибуты тов-в и услуг.

Система e-cl@ss поддерживает и интегрирует следующие ф-ции:

инжиниринг,упр-ние запасами,упр-ние пр-вом,прием и рег-ция запросов,эл.каталогиитд.

Для обеспечения гарантии универсальности формы описания системы e-cl@ss основана на междунар.эталонах и т.о обеспечивает усредненную и стандартизированную платформу.

В настоящее время проектируется русскоязычная версия системы Эл.коммерции и маркетинга на базе Эл.классификации.При этом разрабытывается новая версия концепции управления системой с исп-нием технологии PHP и сервера SQL.Для реал-ции интеллектуальной обработки инф-ции исп-ся логические модели,объединяющие логическую обработку и реляционные базы данных.