300
Қолтаңбаның ашық кілті құпия кілттен белгілі бір функцияның мəні
ретінде есептеледі, бірақ ашық кілтті білу құпия кілтті анықтау мүмкіндігін
бермейді. Ашық кілт жариялана алады жəне қол қойылған құжаттың
түпнұсқалылығын тексеру үшін, сондай-ақ, автор тарапынан оның
қолтаңбадан бас тарту түріндегі алаяқтығының алдын алу үшін
қолданылады. Барлық пайдаланушылардың қолтаңбаларының кілттері
құпиялы байланыс желісі абоненттерінің ашық кілттері анықтамалығына
біріктіріледі.
Ресейде «Ақпараттық технология. Ақпаратты криптографиялық қорғау.
Электрондық цифрлық қолтаңбаны қалыптастыру жəне тексеру процестері»
34.10 — 2001 МЕМСТ Р-ға сəйкес жəне «Ақпараттық технология.
Ақпаратты криптографиялық қорғау. Хэштеу функциясы»Р 34.11—94
МЕМСТ Р бойынша хэштеу функциясын қолдана отырып, асимметриялы
криптографиялық алгоритмнің базасында электрондық цифрлыққолтаңба
жүйесі жүзеге асырылған.
34.11 — 94 МЕМСТ Р сəйкес ЭЦҚ қалыптастыстыру үшін ерікті
ұзындықтағы электрондық құжат арнайы хэштеу функциясының көмегімен
тиянақтылған ұзындықтың — 256 бит блогына (хэш-мəн) түрлендіріледі.
Алынған кодтық блок құжаттың мазмұнына тəуелді, бірақ кері
түрлендіруде оны қалпына келтіруге мүмкіндік бермейді. Сосын 34.10 —
2001МЕМСТ Р сəйкес хэш-мəн құжат авторының құпия кілтінде
шифрленеді, нəтижесінде электрондық цифрлыққолтаңба пайда болып,
қолмен қойылған қолтаңба сияқты электронды құжаттың ажырамас
бөлігіне айналады.
ЭЦҚтексеру үшін тексеруші пайдаланушының қол қойған автордың
ашық кілті болуы тиіс.
Қолтаңбаны тексеру процедурасы төмендегідей:алынған құжаттың хэш-
функциясы қайта есептеледі жəне оның келіп түскен жəне шифрі ашылған
ашық кілттегі автордың АКҚЖ қалыптастырылған хэш-мəнге сəйкестігі
тексеріледі. Ашық мəтін бойынша қайта есептелген жəне шифрлері
ашылған хэш-мəндер толығымен сəйкес келсе, құжат түпнұсқалы, ал
қолтаңба дұрыс болып есептеледі. Кері жағдайда құжаттың астындағы
қолтаңба жарамсыз болып есептеледі.
Қолтаңбаны тексеруші оның қолындағы ашық кілт электронды құжатты
құрастырушының ашық кілтіне сəйкестігіне сенімді болуы үшін, ал ЭЦҚ-
ның заңды мəнінің болуы үшін үшінші тарап (арбитр) қажет, ол жіберуші
мен алушының ықтимал жанжалдарын шешуі тиіс.
301
10.01.2000 № 1-ФЗ «Электрондық цифрлыққолтаңба туралы»
федералды заңға сəйкес, ашық кілттердің инфрақұрылымының негізінде
құрылатын куəландырушы орталықтар (КО) жүйесі осындай арбитр болып
табылады.
Ашық кілттердің инфрақұрылымы — криптография құралдарын
орталықтандырып басқару, тіркелген пайдаланушылардың арасында
үйлестіруды қамтамасыз етуге мүмкіндік беретін кілттерді тудыру жəне
басқару мен қауіпсіздіктің арнайы қызметтерінің жиынтығы.
КОшифрлеудің ашық кілттерінің заңдық мəні бар цифрлік
стандарттарын жəне электрондық цифрлық қолтаңбаны қалыптастыру, ұзақ
мерзімді сақтау жəне үйлестіруге, авторлықтың түпнұсқалылығын белгілеу
жəне электрондық ақпараттық алмасуға тартылған пайдаланушылардың
арасында сенімділік қарым-қатынастарды орнатуға арналған.
Ашық кілт сертификаты — куəландырушы орталық (КО) бекіткен
жəне берілген ашық кілтке белгілі бір меншіктенуші сəйкес келетінін
растайтын цифрлық немесе қағаз құжат. Сертификат кілт иесін
сəйкестендіруге қажет ақпаратты; кілттің мəнін; оның мақсатын;
қолданылу саласын жəне əрекет ету уақытын; сертификатты берген
куəландырушы орталықтың атауын жəне т.б. қамтиды.
Заңды тұлға куəландырушы орталық болуы тиіс, себебі оған
сертификаттарды
пайдаланушылардың
алдында
сертификаттардағы
мəліметтердің дұрыс еместігінің жəне құпия кілттердің жайылып кетуінің
салдарынан шығындар үшін жауапкершілік (оның ішінде қаржылық)
жүктеледі.
Ақпараттық қауіпсіздікті қамтамасыз ету — бұл өз бастамасын есептеу
жүйесін əзірлеуден бастап, оны пайдалану кезеңінде, РҰҚЖ-дан қорғаудың
əртүрлі шептерінде барлық қолжетімді құралдардан (құпиясөздер,
сəйкестендіргіштер, АКҚЖ вирустарға қарсы қорғаныс, деректерді
резервтік көшіру, желіаралық экрандау жəне т.б.) тұратын эшелонданған
қорғаныс құруға дейін жалғасатын күрделі кешенді процесс болып
табылады.
БАҚЫЛАУ СҰРАҚТАРЫ
1. Ақпаратты қорғау дегеніміз не?
2. Қандай мәліметтер қолжетімділігі шектеулі ақпаратқа
жатқызылады?
3. Қатерлердің қандай негізгі түрлері бар?
4. Құпия ақпараттың жайылып кетуінің қандай каналдары
бар?
302
5. ЭМСНҚдегеніміз не?
6. Ақпаратты ұйымдастырушылық қорғаудың мәні неде?
7. Ақпаратқа рұқсат етілмеген қол жеткізу тәсілдерін ата-
ңыз.
8. ДЭЕМ-да пайдаланушыны аутентификациялаудың қандай
әдістері қолданыла алады?
9. Пайдаланушыларды аутентификациялау үшін адамның
қандай биометриялық сипаттамалары қолданыла алады?
10. Криптография қандай мақсатпен қолданылады?
11. ЭЦҚ дегеніміз не, ол не үшін қолданылады, қалай қалып-
тастырылады және тексеріледі?
12. Куәландырушы орталықтар не үшін қажет?
9.2.
РҰҚЖ-ДАН ҚОРҒАУДЫҢ ТЕХНИКАЛЫҚ
ҚҰРАЛДАРЫ
Ақпаратқа жергілікті рұқсат етілмеген қол жеткізу ең қауіпті
қатерлердің бірі болып табылады, себебі статистика бойыншанегізгі шығын
(80 % дейін) кеңселер, фирмалар, мекемелер мен кəсіпорындар
жосықсыз қызметкерлерінің тарапынан қауіпсіздік ережелерін бұзу
жəне теріс пайдалану салдарынан келтіріледі. Сондай-ақ, ноутбуктер мен
ДҚК ғана емес, физикалық тасымалдағыштардың (мысалы, қатты
дисктернемесе флэш-жады), стационарлық ДЭЕМ жиі ұрланатыны белгілі.
ДЭЕМжəне желілерді пайдаланушылардың басым бөлігі қорғаныс үшін
операциялық желі ұсынатын қарапайым құпиясөздік схеманы ғана
қолданады. Бірақ бұл тəсіл ақпарат қауіпсіздігінің жеткілікті деңгейін
қамтамасыз етуге қабілетсіз— құпиясөздер қолға түсірілуі немесе сайлап
алуы мүмкін.
Сондықтан құпия ақпаратты РҰҚЖ-дан қорғау үшін деректерді
шифрлеуді жəне кем дегенде, екі факторлық аутентификациялауды
қолданады, яғни пайдаланушы құпиясөз енгізуге жəне оның қол жеткізу
атрибуттарын қамтитын аппараттық электрондық сəйкестендіргішін
ұсынуға міндетті. Сөйтіп, құпия деректерге қол жеткізуге талпынған
бұзушының міндеті өте күрделенеді: оған құпиясөзді білу жеткіліксіз,
заңды пайдаланушылар ғана иеленетін кілттері бар тасымалдағыш та керек.
Достарыңызбен бөлісу: |
