Устройства сегментации создания подсетей коммутаторы

Криптография — наука о методах обеспечения конфиденциальности и аутентичности информации. Математическая криптография возникла как наука о шифровании информации, т.е. как наука о криптосистемах. В классической модели системы секретной связи имеют место два полностью доверяющих друг другу участника, которым необходимо передавать между собой информацию, не предназначенную для третьих лиц. Такяа информация назыается конфиденциальной или секретной. Задача обеспечения конфиденциальности, т.е. защита секретной информации от противника - первая задача криптографии.

Часто возникает ситуация, когда информация не является конфиденциальной, но важен факт поступления сообщений  в неискаженном виде, т.е. наличие  гарантии, что сообщение не было подделано. Такая гарантия назаывается обеспечением целостности информации и составляет вторую задачу криптографии.

При передаче электронных  документов (в том числе и через  Интернет) возможна как их подмена  или редактура, так и — в  случае секретного текста — доступ посторонних лиц к передаваемой информации. Таким образом, электронные  документы также нуждаются в  криптографической защите.

Возникают две основные задачи по их защите от несанкционированного доступа:

Обеспечение уверенности  получателя в том, что документ подлинный  и корректный, т.е. при передаче не был подменен или отредактирован;

Обеспечение невозможности  доступа посторонних лиц к  содержанию документа.

Когда речь идет об электронных  документах, первая задача решается применением  электронной подписи, вторая — зашифрованием документа.

Электронная подпись (ЭП) — цифровой аналог ручной подписи, обеспечивающий возможность проверки подлинности и корректности документа. Существует техническая возможность проверки электронной подписи: если документ подменен или искажен при передаче, подпись при проверке будет признана некорректной.

Зашифрование документа — видоизменение текста документа таким образом, что только тот или те, для кого текст документа предназначен, в состоянии восстановить исходный текст.

Для защиты информации используются специальные пользовательские программные  продукты. Они разделяются на две  основные группы.

Первая группа, очень широко распространенная — это криптопровайдеры (или CSP, Cryptographic Service Providers). CSP не являются самостоятельными приложениями, они предоставляют криптографические функции другим приложениям — например, таким, как почтовые программы. Пользователь фактически не имеет дела непосредственно с CSP, работая с привычным ему пользовательским интерфейсом. CSP обладают универсальностью — один и тот же CSP может использоваться для работы со множеством различных программ.

Вторая группа — это  библиотеки криптографических функций. Такие библиотеки содержат готовые  функции, решающие криптографические  задачи, и могут использоваться для  создания новых приложений.

Для того чтобы с помощью  электронной подписи можно было установить факт подмены или редактуры  документа при передаче, необходимо, чтобы электронная подпись вырабатывалась на основе самого текста документа. Т.е. ЭП представляет собой последовательность символов, связанную с текстом  документа так, что при изменении  документа нарушается заданное соответствие между ЭП и текстом. Таким образом, для получения ЭП под документом нужно провести некоторое преобразование текста документа.

Для получения зашифрованного текста исходный текст также преобразовывается  так, чтобы восстановление исходного  текста было практически невозможным  без знания определенной информации. Лица, обладающие этой информацией, должны быть в состоянии восстановить исходный текст. Очевидно, что информация, необходимая  для восстановления текста (расшифрования), должна быть известна только адресатам.

Совокупность операций, которые  производятся над текстом при  криптографическом преобразовании, называется криптографическим алгоритмом.

В настоящее время существует множество криптографических алгоритмов, используемых для решения различных  криптографических задач.

Алгоритмы, т.е. сами последовательности действий, не являются секретными.

Криптографический алгоритм — это серьезная разработка, требующая  немалого труда специалистов и отвечающая определенным требованиям. Одним и  тем же алгоритмом может пользоваться для защиты информации большое количество пользователей, т.к. алгоритмы не являются секретной информацией.

На криптографические  алгоритмы существуют стандарты, т.е. официально оформленные совокупности требований, которым эти алгоритмы  должны отвечать. Эти стандарты различны в разных странах и изменяются со временем. Популярные американские алгоритмы — RSA, DSA и т.д. — которые часто используются в распространенных программных продуктах, отвечают американским стандартам.

В качестве секретной информации используются криптографические ключи.

Криптографический ключ представляет собой последовательность символов, выработанную по определенным правилам. Эта последовательность используется при криптографических преобразованиях текстов. Для каждого криптографического алгоритма существуют свои требования, в соответствии с которыми создаются ключи. Каждый ключ создается для определенного алгоритма.

Для того чтобы обеспечить невоспроизводимость электронной подписи и невозможность прочтения зашифрованных текстов посторонними людьми, в криптографии применяются криптографические ключи.

Современный криптографический  ключ — это последовательность чисел  определенной длины, созданная по определенным правилам на основе последовательности случайных чисел. Для каждого  ключа последовательность случайных  чисел создается заново, ни одна последовательность не используется более  одного раза. Для генерации последовательностей  случайных чисел используются специальные  программные объекты или устройства, называемые датчиками случайных  чисел.

Каждый алгоритм предъявляет  собственные требования к ключам, поэтому любой криптографический  ключ создается для определенного  алгоритма и используется только с этим алгоритмом.

Если выработка электронной  подписи и ее проверка, или зашифрование и расшифрование текста выполняются с помощью одного и того же ключа, такой подход называется симметричной криптографией (соответственно симметричные алгоритмы и симметричные ключи). Операции симметричной криптографии выполняются быстро и сравнительно просты. Но они требуют знания ключа по меньшей мере двумя людьми, что значительно повышает риск их компрометации (т.е. доступа к ним посторонних лиц).

Поэтому сейчас в основном используется асимметричная криптография. В асимметричной криптографии выработка электронной подписи или зашифрование выполняются на одном ключе, а проверка подписи или расшифрование — на другом, парном ключе.

В асимметричной криптографии применяются так называемые ключевые пары (key pairs). Каждая такая пара состоит из двух связанных между собой ключей. Один из этих ключей — закрытый (private key). Он известен только владельцу ключа и ни при каких условиях не должен быть доступен никому другому. Другой ключ — открытый (public key), он может быть доступен любому желающему.

Для выработки ЭП необходим  закрытый ключ автора сообщения, для  проверки — открытый. Таким образом, создать ЭП может только владелец закрытого ключа, а проверить  — любой пользователь, получивший соответствующий открытый ключ.

Для зашифрования текста применяется открытый ключ адресата, для расшифрования — закрытый. Таким образом, зашифровать сообщение может любой человек, а расшифровать — только владелец соответствующего закрытого ключа, т.е. адресат.

Ключевая пара, используемая для работы с ЭП (выработки и  проверки ЭП), называется ключами подписи (signature keys). Ключевая пара, используемая для зашифрования и расшифрования сообщений, называется ключами обмена (exchange keys).

Проблема асимметричной  криптографии состоит в том, что  зашифрование по асимметричным алгоритмам происходит намного медленнее, чем по симметричным. Кроме того, если зашифрованный текст предназначен для нескольких адресатов, в отправляемое сообщение приходится включать копию текста для каждого адресата, что резко увеличивает как объем сообщения, так и время, необходимое для его зашифрования.

Эта проблема решается с  помощью так называемой гибридной криптографии.

В процессе шифрования прежде всего создается одноразовый (так называемый сеансовый) ключ шифрования (session encryption key). Это симметричный ключ, т.е. один и тот же ключ используется и для зашифрования, и для расшифрования. Одноразовым или сеансовым он называется потому, что используется для зашифрования/расшифрования только одного сообщения.

На сеансовом ключе  шифрования зашифровывается сообщение. Поскольку сообщение зашифровывается  по симметричному алгоритму, процесс  зашифровывания сообщения происходит достаточно быстро.

Затем сам ключ шифрования зашифровывается по асимметричному алгоритму на открытом ключе обмена получателя. Поскольку ключ шифрования представляет собой сравнительно небольшой  объем данных, зашифрование такого ключа не занимает много времени.

Зашифрованный ключ шифрования включается в сообщение.

В результате сообщение получается незначительно больше по объему (за счет добавленной зашифрованной  копии ключа шифрования), но процесс  зашифрования происходит гораздо быстрее, чем если бы само сообщение зашифровывалось по асимметричному алгоритму.

Если получателей несколько, то сообщение зашифровывается один раз на сеансовом ключе шифрования, а ключ (сравнительно небольшой объем  данных) зашифровывается отдельно на открытом ключе обмена каждого получателя. Таким образом, зашифрованное сообщение  вместо нескольких копий сообщения, зашифрованных для каждого получателя, содержит одну зашифрованную копию  сообщения и несколько копий  одноразового сеансового ключа шифрования, зашифрованных для каждого получателя. Объем зашифрованного сообщения  и время, необходимое для его  зашифрования, оказываются существенно меньшими, чем если бы сообщение шифровалось по асимметричному алгоритму для каждого получателя.

Когда адресат получает сообщение, среди зашифрованных сеансовых  ключей, включенных в сообщение, ищется сеансовый ключ, зашифрованный на открытом ключе обмена получателя. Если такой ключ находится, он расшифровывается с помощью закрытого ключа  обмена получателя, а потом с помощью этого ключа расшифровывается само сообщение.

Таким образом, основное требование к процессу зашифрования по асимметричному алгоритму — чтобы к закрытому ключу обмена никто не имел доступа, кроме владельца этого ключа — соблюдается. Для того, чтобы получить доступ к ключу шифрования, необходим доступ к закрытому ключу обмена; но после того, как произведено расшифрование ключа шифрования с помощью закрытого ключа обмена, этот ключ шифрования больше никогда не используется, так что говорить о его компрометации не имеет смысла.

Сертификаты — это принятая сейчас форма хранения и передачи открытых ключей. Сертификат — это  набор данных специального формата, содержащий сам открытый ключ и всю  информацию о нем и о его  владельце. Все открытые ключи хранятся и передаются в виде сертификатов.

Сертификаты выпускаются  специальными уполномоченными центрами, которые могут носить различные  названия: удостоверяющий центр, центр  сертификации, пункт регистрации  абонентов и т.д. В любом случае такой центр выполняет административные функции. Центр и пользователи (абоненты), которые пользуются услугами центра, составляют криптосеть.

Для того чтобы центр выпустил сертификат на открытый ключ, абоненту необходимо прислать заявку (запрос) на такой сертификат. Заявка содержит открытый ключ и всю информацию о  нем и о владельце. Центр проверяет  подлинность и корректность этой информации (как именно — зависит  от регламента центра) и выпускает  сертификат, заверяя его своей  электронной подписью.

Часто возникает необходимость  проверять документ с помощью  другого документа, который так  же требует проверки. Например, подпись  под документом проверяется с  помощью сертификата на открытый ключ, парный тому секретному, на котором  подпись выработана. Но сам сертификат — это тоже документ, корректность и подлинность которого требует  проверки. Подпись под сертификатом проверяется на сертификате на открытый ключ подписи того центра, который выпустил сертификат. Сертификат центра, в свою очередь, тоже может быть подписан электронной подписью и требовать проверки.

Такие цепочки документов, каждый из которых проверяется на следующем, называются цепочками доверия.

Очевидно, что в конце концов цепочка заканчивается — в ней обязательно существует документ, который невозможно проверить на другом документе (например, самый первый сертификат центра). Такие документы могут называться самозаверенными, корневыми, доверенными и т.д. Существуют разные способы проверки корректности и подлинности таких документов, зависящие от используемого программного обеспечения и принятого регламента: контрольные записи, цифровые отпечатки и т.д. Общим во всех этих способах проверки является то, что они требуют участия каких-то бумажных документов (распечаток) и не могут быть проверены автоматически: необходимо, чтобы человек сравнил информацию из проверяемого электронного документа с распечатанной и убедился в совпадении.

Документ может считаться  корректным только в том случае, если корректны все документы, входящие в цепочку доверия от данного  документа до документа, которым  заканчивается цепочка (корневого).

Разумеется, при каждой проверке подписи полной проверки цепочки  доверия с участием человека не происходит. Обычно корневой документ проверяется  при его установке на компьютер, а затем проверка цепочек доверия, заканчивающихся этим документом, происходит автоматически.