Государственный комитет связи, информатизации и телекоммуникационных технологий РУз ГУП “UNICON.UZ”

Государственный комитет связи, информатизации и телекоммуникационных
технологий РУз
ГУП “UNICON.UZ”
Центр научно-технических и маркетинговых исследований
Республиканский семинар:
«Информационная безопасность в сфере связи, информатизации и
телекоммуникационных технологий.
Проблемы и пути их решения»
Сборник тезисов и докладов
Ташкент 29 октября 2013г.
АХБОРОТ ХАВФСИЗЛИГИ ТУШУНЧАСИ
С.Ходжаев, Тошкент
Умуман олганда “хавфсизлик” тушунчаси “Ўзбек тилининг изоҳли луғати”да [1]
қуйидагича таърифланган: “хавфсизлик - хавф-хатарнинг йўқлиги; хавф бўлмаган
ҳолат”.
Ўша манбанинг ўзидан яна 2 та таърифни келтирамиз:
“хавф [қўрқинч, қўрқиш, ваҳима, хадиксираш] - бирор хатарли ҳодиса ёки
фалокат содир бўлиши эҳтимоллиги, хатар”;
“хатар [хавф, таҳлика, ваҳима, хавотир] - бирор бахтсизликка, халокатга олиб
келиши мумкин бўлган шароит”.
Иқтибос қилинган таърифларни умумлаштириб қуйидаги натижага келишимиз
мумкин: “хавфсизлик ҳолати бу - бирор хатарли ҳодиса ёки фалокат содир
бўлишининг эҳтимоли ҳам бўлмаган, ҳар қандай бахтсизлик, ҳалокатлар содир
бўлишининг олди олинган ҳолатдир”.
Инсон фаолиятининг соҳа ва қирралари жуда ҳам кўп ва турли-туманлиги, ҳар бир
фаолият соҳасининг ўзига хос хусусиятлари мавжудлиги хавфсизликнинг ҳам тегишли
йўналишлари юзага келганлигининг асосий омилидир. Масалан, “йўл ҳаракати
хавфсизлиги”, “тоғ-кон ишлари хавфсизлиги”, “авиапарвозлар хавфсизлиги”, “жамият
хавфсизлиги”, “миллий хавфсизлик” ва бошқалар.
Демак, “ахборот хавфсизлиги” тушунчасинининг мазмунини тушуниш учун
“ахборот сохаси” қандай соҳа ҳамда ушбу соҳада қандай фалокат ва кўнгилсизликлар,
хатарли ходисалар, бахтсизлик ва ҳалокатлар юзага келиши мумкин эканлигини аниқлаб
олишимиз керак.
Ўзбекистон Республикасининг “Ахборот эркинлиги принциплари ва кафолатлари
тўғрисида”ги Қонунига [2, 3-модда] мувофиқ “субъектларнинг ахборотни яратиш,
қайта ишлаш ва ундан фойдаланиш билан боғлиқ фаолият соҳаси - ахборот
соҳасидир”, ҳамда “ахборот соҳасида шахс, жамият ва давлат манфаатларининг
ҳимояланганлик ҳолати - ахборот хавфсизлигидир”.
Шунингдек “ҳар қандай ахборот, агар у билан қонунга хилоф равишда
муомалада бўлиш ахборот мулкдори, эгаси, ахборотдан фойдаланувчи ва бошқа
шахсга зарар етказиши мумкин бўлса, муҳофаза этилмоғи керак” [2, 11-модда], яъни
бундай ахборотларнинг хавфсизлиги таъминланиши қонун билан белгиланган бўлиб,
ахборотларни мухофаза қилиш қуйидаги мақсадларда амалга оширилади:
“шахс, жамият ва давлатнинг ахборот соҳасидаги хавфсизлигига таҳдидларнинг
олдини олиш;
ахборотнинг
махфийлигини
таъминлаш,
тарқалиши,
ўғирланиши,
йўқотилишининг олдини олиш;
ахборотнинг бузиб талқин этилиши ва сохталаштирилишининг олдини олиш”.
Шахс, жамият ва давлатнинг ахборот соҳасидаги хавфсизлиги қандай усуллар
билан таъминланиши ҳам юқорида тилга олинган қонуннинг 13-, 14- ҳамда 15моддаларида келтирилган:
“Шахснинг ахборот борасидаги хавфсизлиги унинг ахборотдан эркин
фойдаланиши зарур шароитлари ва кафолатларини яратиш, шахсий ҳаётига
тааллуқли сирларини сақлаш, ахборот воситасида қонунга хилоф равишда руҳий
таъсир кўрсатилишидан ҳимоя қилиш йўли билан таъминланади.
Жисмоний шахсларга тааллуқли шахсий маълумотлар махфий ахборот
тоифасига киради.
2
Жисмоний шахснинг розилигисиз унинг шахсий ҳаётига тааллуқли ахборотни,
худди шунингдек шахсий ҳаётига тааллуқли сирини, ёзишмалар, телефондаги
сўзлашувлар, почта, телеграф ва бошқа мулоқот сирларини бузувчи ахборотни тўплашга,
сақлашга, қайта ишлашга, тарқатишга ва ундан фойдаланишга йўл қўйилмайди, қонун
ҳужжатларида белгиланган ҳоллар бундан мустасно.
Жисмоний шахслар тўғрисидаги ахборотдан уларга моддий зарар ва маънавий зиён
етказиш, шунингдек уларнинг ҳуқуқлари, эркинликлари ва қонуний манфаатлари рўёбга
чиқарилишига тўсқинлик қилиш мақсадида фойдаланиш тақиқланади.
Фуқаролар тўғрисида ахборот олувчи, бундай ахборотга эгалик қилувчи ҳамда
ундан фойдаланувчи юридик ва жисмоний шахслар бу ахборотдан фойдаланиш тартибини
бузганлик учун қонунда назарда тутилган тарзда жавобгар бўладилар.
Оммавий ахборот воситалари ахборот манбаини ёки тахаллусини қўйган
муаллифни уларнинг розилигисиз ошкор этишга ҳақли эмас. Ахборот манбаи ёки
муаллиф номи фақат суд қарори билан ошкор этилиши мумкин.”
“Жамиятнинг ахборот борасидаги хавфсизлигига қуйидаги йўллар билан
эришилади:
демократик фуқаролик жамияти асослари ривожлантирилишини, оммавий ахборот
эркинлигини таъминлаш;
қонунга хилоф равишда ижтимоий онгга ахборот воситасида руҳий таъсир
кўрсатишга, уни чалғитишга йўл қўймаслик;
жамиятнинг маънавий, маданий ва тарихий бойликларини, мамлакатнинг
илмий ва илмий-техникавий салоҳиятини асраш ҳамда ривожлантириш;
миллий ўзликни англашни издан чиқаришга, жамиятни тарихий ва миллий
анъаналар ҳамда урф-одатлардан узоқлаштиришга, ижтимоий-сиёсий вазиятни
беқарорлаштиришга, миллатлараро ва конфессиялараро тотувликни бузишга
қаратилган ахборот экспансиясига қарши ҳаракат тизимини барпо этиш”.
“Давлатнинг ахборот борасидаги хавфсизлиги қуйидаги йўллар билан
таъминланади:
ахборот соҳасидаги хавфсизликка таҳдидларга қарши ҳаракатлар юзасидан
иқтисодий, сиёсий, ташкилий ва бошқа тусдаги чора-тадбирларни амалга ошириш;
давлат сирларини сақлаш ва давлат ахборот ресурсларини улардан рухсатсиз
тарзда фойдаланилишидан муҳофаза қилиш;
Ўзбекистон Республикасининг жаҳон ахборот маконига ва замонавий
телекоммуникациялар тизимларига интеграциялашуви;
Ўзбекистон Республикасининг конституциявий тузумини зўрлик билан
ўзгартиришга, ҳудудий яхлитлигини, суверенитетини бузишга, ҳокимиятни босиб
олишга ёки қонуний равишда сайлаб қўйилган ёхуд тайинланган ҳокимият
вакилларини ҳокимиятдан четлатишга ва давлат тузумига қарши бошқача тажовуз
қилишга очиқдан-очиқ даъват этишни ўз ичига олган ахборот тарқатилишидан
ҳимоя қилиш;
урушни ва зўравонликни, шафқатсизликни тарғиб қилишни, ижтимоий,
миллий, ирқий ва диний адоват уйғотишга қаратилган, терроризм ва диний
экстремизм ғояларини ёйишни ўз ичига олган ахборот тарқатилишига қарши
ҳаракатлар қилиш”.
Юқоридагиларни тахлил қилиш натижасида ахборот хавфсизлигини икки асосий
қисмга ажратиш мумкин:
замонавий ахборот-комуникация технологиялари ёрдамида ахборотларни яратиш,
қайта ишлаш ҳамда улардан фойдаланиш давомида ахборот тизимлари таркибидаги
ахборотларни ҳамда ахборот ресурсларининг ўзининг хавфсизлигини таъминлаш;
ахборотлардан фойдаланувчиларни уларнинг онги ва дунёқарашига яратувчан
бунёдкорлик интилишларига, миллий қадриятларимизга, давлатимиз Конституцияси
3
ҳамда амалдаги қонунларимизга зид равишда бузғунчилик ғояларини тарқатишни ўз
ичига олган ахборотлардан ҳимоя қилиш.
Ахборот хавфсизлигининг биринчи қисми - ахборот тизимлари таркибидаги
ахборотлар ва ахборот ресурсларининг хавфсизлигини таъминлаш амалдаги
стандартларга мувофиқ [3] ахборотларнинг учта асосий хусусияти: “улардан
фойдалана олишлик” (availability - доступность), “мутаносиблик” (integrity целостность) ҳамда “конфиденциаллик” (confidentiality - конфиденциальность) ни
мухофаза қилишдан иборат.
Ҳар бир хусусиятни батафсил кўриб чиқамиз.
Фойдалана олишлик (A, availability - доступность) - ваколатга эга мантиқий
объектнинг сўрови бўйича фойдаланишга қулай ва яроқли бўлган маълумотлар ёки
ресурслар хусусияти [3]. Яъни ахборотдан ёки ахборот ресурсларидан фойдаланишга
ўрнатилган тартибга мувофиқ ҳуқуқи бўлган шахс, ўзининг ахборот сохасидаги
манфаатларидан келиб чиққан ҳолда, керакли ахборотларни ахборот ресурси жойлашган
ахборот тизими доирасида имкони борича тезроқ ва тўлиқ шаклда олиш имконияти
яратилиши лозим.
Ушбу имкониятни ўлчаш ёки рақамларда ифодалаш мақсадида соҳадаги кўпчилик
компаниялар фоиз кўрсаткичларидан фойдаланадилар. Реклама мақсадларида 99,999 %
сони ишлатилсада, кўп холларда, буни таъкидловчиларнинг ўзлари ҳам мазкур
рақамларнинг маъносини ҳамда у қандай ўлчанганлиги тушунтириб бера олмайдилар.
Агар ўрнатилган иш вақти (agreed service time) ни AST, ахборот тизимининг
ишламаган вақти (downtime) ни DT деб белгиласак, фойдалана олишлик имконияти (A)
қуйидаги оддий ифода орқали ҳисобланади:
A = (AST-DT)/AST*100 %.
Яъни, бир хафта давомида тўхталиш 5 соат давом этган бўлса, фойдалана олишлик
имконияти келтирилган ифодага кўра 97 % га тенг бўлади:
(168-5)/168*100 %=97 %.
Ахборотлардан фойдалана олишлик имконияти фойдаланувчи учун амалий
аҳамиятга эга. Чунки, ахборотдан фойдалана олишлик тўғрисидаги ҳисобот фойдаланувчи
ўз вақтида керакли электрон хат-хабарни жўната олса ёки банкдаги ҳисоб рақамидан
фойдалана олсагина маънога эга бўлади.
100 % вақт давомида ишлаши лозим бўлган ахборот ресурси 97 % фойдаланиш
имкониятига эга дейилганда 5 соатлик битта тўхталиш ёки нисбатан қисқа вақт давом
этган бир қанча тўхталишлар бўлганлиги тўғрисида ноаниқлик вужудга келади. Бундай
тўхталишларнинг фойдаланувчининг ахборот сохасида манфаатларига таъсири даражаси
унинг фаолият доирасининг хусусиятлари билан боғлиқ. Баъзилар учун бир марталик
қисқа тўхталиш ҳам барча ишни бошидан бошлашни талаб қилса, бошқалар, масалан
интернет-магазинлар учун 2-3 соатлик бир маротаба тўхталиш ўнлаб ва ҳаттоки юзлаб
мижозларнинг йўқотилишига олиб келиши мумкин.
Баъзи техник носозликлар барча фойдаланувчиларга ҳам таъсир кўрсатавермайди.
Уларнинг баъзилари ахборотлардан фойдаланиш имкониятига эга бўлиб турган бир
пайтда, бошқалари умуман бундай имкониятдан маҳрум бўлиб қолишлари мумкин. Бир
хил холларда фойдаланувчи ўз компьютеридаги носозлик туфайли ахборотлардан
фойдалана олмаса, ахборотлардан фойдалана олиш имкониятини (A=0 %) га тенг
дейилиши нотўғри бўлади. Аммо, иккинчи томондан, шароитлари бир хил бўлган кўплаб
фойдаланувчиларнинг бир-иккитасигина аборот ресурсларидан фойдаланган ҳолда
бошқалари умун бундай имкониятдан маҳрум бўлишлари уларнинг ҳақли
норозиликларини келтириб чиқаради. Бундай ҳолларда “бир фойдаланувчига тўхталиш
вақти” (ITPU) деб аталадиган кўрсаткичдан фойдаланиш зарур бўлади. Уни ҳисоблаш
учун зарар кўрган фойдаланувчилар сонини тўхталиш давомийлигига кўпайтириш лозим
бўлади, ҳамда олинган натижа фойдаланувчининг ахборотлардан фойдаланиши мумкин
бўлган вақт (PTPU) билан солиштирилади:
4
A=(PTPU-ITPU)/PTPU*100%.
Аксарият холларда фойдаланувчилар бир ахборот тизими доирасида бир неча хил
ахборотлардан фойдаланадилар, турли хилдаги ахборот сўровларини амалга оширадилар.
Табиийки бундай сўровларнинг аҳамияти бир хил даражада бўлмайди, яъни баъзи
сўровларнинг аҳамияти каттароқ, баъзилариники эса, аксинча, камроқ бўлади. Бундай
холларда, ахборотлардан фойдалана олишлик имкониятини аниқлаш учун, ҳар бир
ахборот ресурси ёки ахборот сўровининг аҳамиятлилик даражасини кўрсатувчи қўшимча
кўпайтирувчи коэффициент киритиш керак бўлади. Масалан, электрон хабарлар энг катта
аҳамиятга эга бўлса 100%, умумий папкалардаги ахборотлар аҳамияти нисбатан кичикроқ
бўлса 50% аҳамиятлилик даражасини ўрнатиш мумкин ва ҳок.
Шуни ҳам таъкидлаш лозимки, фойдалана олишлик имконияти ҳисобланаётганда
ҳисоблаш даври катта аҳамият касб этади. Мисол учун, 8 соатлик тўхталиш натижасида
бир хафта давомидаги фойдалана олишлик имконияти 95,24 % ни ташкил этса, бир йил
учун бу кўрсаткич 99,6 % ни ташкил этади.
Юқоридагилардан кўриниб турганидек, ахборотлардан ҳамда ахборот
ресурсларидан фойдалана олишлик имкониятини таъминлаш ва бошқариб туриш ахборот
хавфсизлигининг катта аҳамият касб этувчи қисмларидан бўлиб, қуйидаги таркибий
қисмлардан иборат:
бевосита фойдалана олишлик имконияти - аниқ давр мобайнида ваколати етарли
бўлган фойдаланувчиларга керакли ахборотларни керакли ҳажм ва сифатини таъминлаган
ҳолда етказилиши;
ишончлилик - ахборот тизими ёки унинг қисмининг ахборот етказиб бериш
қобилиятининг белгиланган ишлатиш шароитларида сақланиши;
тикланувчанлик - ахборот етказиб берувчи ёки ахборот ресурларини яратувчи
ахборот тизимларининг тўхталиш(бузилиш)и натижасида қисман ёки тўлиқ йўқотилган
ишлатиш кўрсаткичларини тиклай олиш қобилияти.
Санаб ўтилганларни таъминлаш учун қуйидаги йўналишларда ишлаш лозим:
ахборот етказиб бериш жараёнларини режалаштириш ҳамда лойиҳалаштириш
жараёнида фойдалана олишлик имкониятларининг мажбурий равишда таъминланиши
кераклиги ҳисобга олиш;
харажатлар нуқтаи назаридан самарадор бўлган такомиллаштиришлар ёрдамида
фойдалана олишлик имкониятларини ошириш;
фойдалана олишлик имкониятларига таъсир қилувчи тўхталишлар сони ва
давомийлигини имкони борича камайтириш.
Мутаносиблик (integrity - целостность) - ахборотларнинг бажариладиган
ўзгаришлардан қатъий назар, аниқлик ва зиддиятсизликни сақлаш хусусияти [3].
Яъни, ахборот ресурси таркибидаги ахборотлар уларнинг ички мантиқига,
маълумотлар базасининг тузилмасига ҳамда бевосита ёритилган қонуниятларга жавоб
бериши лозим. Маълумотларнинг ҳолатини чекловчи ҳар бир қонуният мутаносиблик
чеклови деб аталади.
Мутаносиблик чекловларига мисоллар: ускунанинг оғирлиги манфий бўлиши
мумкин эмас, ота-онанинг ёши уларнинг фарзандининг ёшидан кичик бўлмайди; телефон
рақамидаги белгиларнинг сони 25 тадан ошмайди ва ҳок.
Ахборот тизимларини лойиҳалаштирилаётганда тахлилчи ва лойиҳаловчи
муҳандислар тизим доирасида ахборот ресурсларининг барча мавжуд мутаносиблик
чекловларини аниқлаб, ахборот тизими яратилаётганда уларни албатта тўлиқ ҳисобга
олишлари керак.
Шу билан бир қаторда ахборотлар ёки ахборот ресурсларининг мутаносиблиги
уларнинг ҳақиқийлигини кафолатламайдилар, аммо бемаъно ва умуман бўлиши мумкин
бўлмаган маълумотларнинг киритилишига йўл бермаган ҳолда ахборотларнинг ҳақиқатга
тўғри келишини таъминлайди.
5
Демак, ахборотларнинг ҳақиқийлиги билан мутаносиблигини фарқлаш лозим.
Ҳақиқийлик - маълумотларнинг реалликка мослигидир. Ахборот тизимидаги
ахборотларнинг ёки ахборот ресурсларининг ҳақиқийлигини аниқлаш учун ахборот
ресурси таркибидаги маълумотлар билан бир қаторда реал оламдаги маълумотларни ҳам
билиш талаб этилади. Мутаносибликни аниқлаш учун эса, ахборот ресурси таркибидаги
маълумотлар билан уларнинг мутаносиблик чекловларинигина билиш етарли бўлади.
Шунинг учун ҳам ахборот тизими ёки унинг таркибидаги маълумотлар базасини
бошқариш тизими (МББТ) мутаносибликни назорат қилиши мумкин ва шарт бўлади,
лекин ҳақиқийликни назорат қила олмайди. Ҳақиқийликни назорат қилиш фақат
инсон зиммасига, шунда ҳам чегараланган миқиёсларда (ким ҳам ҳато қилмайди!?)
юклатилиши мумкин.
Шундай қилиб ахборотларнинг ёки ахборот ресурсларининг мутаносиблиги
дейилганда фақатгина барча чекловларга жавоб берувчи рухсат берилган ўзгартиришлар
кирита олиш имконияти бўлган хусусият тушунилади.
Мутаносибликни
аниқлаш
қуйидаги
тамойилларнинг
биргаликдаги
бажарилишини текшириш лозим:
транзакцияларнинг тўғрилиги - фойдаланувчилар қайта ишланаётган
маълумотларни исталган эмас, балки фақатгина аниқ белгиланган усуллар, тўғри
транзакциялар ёрдамида ўзгартиришларига рухсат берилиши. Бунда ҳар бир
транзакциянинг тўғрилигини исботлаш имконияти борлиги назарда тутилади.
Маълумотларни ўзгартириш фақатгина бунга рухсат берилган махсус фойдаланувчилар
томонидан амалга оширилиши мумкин;
ваколатларнинг минималлаштирилганлиги - ахборот тизимидаги ҳар бир
жараёнга фақат ва фақат ўзининг тўлиқ ва тўғри бажарилиши учун етарли бўлган
ваколатларгина берилади. Мазкур тамойил ҳам фойдаланувчилар, ҳам дастурий таъминот
учун татбиқ қилиниши керак;
функционал мажбуриятларнинг чегараланганлиги - мутаносиблик нуқтаи
назаридан ягона жараённи ташкил этувчи муҳим босқичлар турли фойдаланувчилар
томонидан бажарилиши лозим. Бу билан бирон-бир фойдаланувчи бутун жараённи
мутаносибликни бузган ҳолда бажариш имкониятининг олди олиниши кафолатланади;
объектив назорат - ахборот ресурси таркибидаги ҳимоя қилинаётган маълумотлар
билан улар акс эттираётган объектив реаллик ўзаро мос келиши доимий равишда вақтивақти билан текширилиб турилгандагина маълумотларни назорат қилиш маънога эга
бўлади;
ваколатларнинг берилишини бошқариш - мазкур тамойил нафақат
мутаносибликни таъминлаш, балки бутунлай ахборот хавфсизлиги сиёсати учун ҳам ўта
муҳим ҳисобланади. Агар ваколатларни бериш тартиби ташкилотнинг таркибий
тузилмасини нотўғри талқин этса ёки хавфсизлик маъмурига ваколатларни тўлиқ
бошқариш имкониятини бермаса (қийинлаштирса), фойдаланувчилар томонидан берилган
ваколатлардан ташқарига чиқиб ҳимоя чизиғини четлаб ўтишга уринишларга қўзғаши
мумкин;
ҳимоя воситаларини ишлатишнинг қулай ва оддийлиги - ҳимоя воситалари
фойдаланувчилар ишига имкони борича таъсир этмаган “сезилмас” ҳолда ўзларига
юкланган вазифаларни бажаришлари лозим.
Конфиденциаллик (confidentiality - конфиденциальность) - маълумотларнинг
ваколати бўлмаган шахсларга, жараёнларга ёки бошқа мантиқий объектларга ахборотдан
фойдаланиш ҳуқуқини ёки уни очиш имконини бермаслик хусусияти [3].
Конфиденциал ахборотларни таснифлашга бўлган уринишлар ўтган асрнинг
охирларида анча жиддий кўриниш олиб [4-5], янги асрнинг биринчи ўн йиллигида янада
ривожлантирилди [6].
Жадвалда конфиденциал ахборотларнинг турлари, таснифланиш кўрсаткичлари ва
қоидалари келтирилган бўлса, [6] да Ўзбекистон Республикаси қонунларига мувофиқ
6
ҳимоя қилиниши керак бўлган маълумотларнинг турлари тегишли асослари билан
биргаликда кўрсатиб ўтилган.
Жадвал
Конфиденциал ахборотларнинг турлари,
таснифланиш кўрсаткичлари ва қоидалари
Таснифланиш
Конфиденциал
Таснифланиш
кўрсаткичи
ахборот тури
қоидаси
1. Ахборот
1.1. Давлат
мулкдори
1.2. Юридик шахс
1.3. Жисмоний шахс
2. Вужудга келиш
2.1. Шахсий
Жисмоний шахсни идентификация қилиш
ёки эгалик қилиш
маълумотлар
имконини берувчи ҳамда ошкор этилиши
сабаби
унинг қонуний манфаатларига зиён
етказиши мумкин бўлган жисмоний,
молиявий, хизмат ва ҳок. холатига
тегишли бўлган маълумотлар
2.2. Касб сири
Касбий тайёргарлик давомида олинган,
ҳамда ошкор этилиши учинчи
шахсларнинг манфаатларига зид келиши
мумкин бўлган маълумотлар. Масалан,
турли захарли ёки портловчи моддалар
тайёрлаш, анестизия усуллари.
2.3. Хизмат сири
Шахс томонидан хизмат фаолияти
давомида олинган, ҳамда ошкор этилиши
хозирги ёки олдинги иш берувчилари
манфаатларига зид келиши мумкин бўлган
маълумотлар.
3. Фаолият соҳаси
3.1. Тижорат
3.2. Банк-молия
3.3. Тиббиёт
3.4. Адвокатура
...
4. КонфиденциалКонфиденциал ахборотларнинг конфиденциаллик даражаларнинг
лик даражаси
сони, уларнинг номланиши ҳамда таснифлаш қоидалари ахборот
мулкдори томонидан ўрнатилади
Мамлакатимизда олиб борилаётган ижтимоий-иқтисодий ислоҳотлар натижасида
ривожланган бозор иқтисодиёти шаклланиши жараёнларида тижорат сирлари муҳим
аҳамият касб этишини ҳисобга олган ҳолда уларнинг турларини олҳида кўриб чиқамиз:
илмий-техник хусусиятга эга бўлган тижорат сирлари: ғоялар, кашфиётлар,
ноу-хаулар, лицензиялар, ишлаб чиқаришни ташкил этишнинг янги усуллари,
рационализаторлик таклифларининг мазмуни, янги технологиялар ва янги турдаги
маҳсулотларни ишлаб чиқаришни жорий этиш режалари, маҳсулотларнинг
рақобатбардошлик таҳлили натижалари, дастурий таъминот, конфиденциал маълумоларни
ўқиш ҳуқуқини берувчи код ва пароллар;
ишлаб чиқариш (технологик) хусусиятга эга бўлган тижорат сирлари: ишлаб
чиқариш усуллари ва технологиялари, муҳандислик ҳамда конструкторлик хужжатлари,
чизмалар, меҳнатни ташкил этиш тизими, хом ашё тўғрисидаги маълумотлар,
маҳсулотларнинг тайёрланиш усуллари, бозорга чиқиш ва маҳсулот ишлаб чиқариш
режалари, ишлаб чиқаришга инвестициялар киритиш режалари;
7
молиявий хусусиятга эга бўлган тижорат сирлари: фойда ўлчамлари ва
маҳсулот таннархи даражаси, нарх ва баҳоларнинг шаклланиш тизимлари, банк ва савдо
амалиётлари, ташкилотнинг тўлов қобилияти даражаси;
ишчи хусусиятга эга бўлган тижорат сирлари: тузилган шартномаларнинг шарт
ва хусусиятлари, меҳнатни ташкил этиш тизими, реклама режалари, таъминотчилар,
рақобатчилар ҳамда контрагентлар, фирма ходимлари, тижорат ёзишмалари ва олиб
борилаётган келишувлар тўғрисидаги маълумотлар.
Юқоридагилардан
кўриниб
турибдики,
ахборотларнинг
хавфсизлигини
таъминловчи учта кўрсаткичдан фақатгина биттаси, яъни фойдалана олишлик
хусусияти миқдорий кўрсаткич бўлиб, уни сон билан ифодаласа бўлади.
Мутаносиблик ва конфиденциаллик бўлса сифат кўрсаткичлари бўлиб, уларни сон
билан ифодалаб бўлмайди. Улар таъминланган ёки таъминламаган бўлади.
Ахборот хавфсизлигининг иккинчи қисми – фойдаланувчиларни бузғунчи
ахборотлардан ҳимоя қилиш ҳам, ўз навбатида, бир қанча катта йўналишга ажратилади:
фойдаланувчиларнинг
онги
ва
дунёқарашига
яратувчан
бунёдкорлик
интилишларига, миллий қадриятларимизга, давлатимиз Конституцияси ҳамда амалдаги
қонунларимизга зид равишда бузғунчилик ғояларини тарқатишни ўз ичига олган
ноқонуний ахборотларнинг тарқатилишига йўл қўймаслик;
аҳолимизни, биринчи навбатда, ўсиб келаётган ёш авлодимиз атрофида
шаклланаётган ахборот маконини замонавий интерактив, доимий янгиланиб борувчи,
фойдаланувчиларнинг интеллектуал ва ахборот талабларини қондира олувчи, уларнинг
дунёқарашларини кенгайтирувчи, миллий ва инсоний қадриятларни мустаҳкамловчи,
мустақил фикрлаш қобилиятларини ривожлантирувчи, ватанпарварлик ва Ватан тақдири
учун жавобгарлик ҳиссини тарбияловчи, соғлом турмуш тарзи ҳамда атроф-муҳит ва
табиатга эҳтиёткорона ғамхўр муносабатни тарғиб этувчи ижобий ахборотлар ва
ахборот ресурслари билан тўлдириш;
ҳам ўсиб келаётган ёш авлод, ҳам уларга таълим-тарбия бераётган устозлар,
шунингдек барча фойдаланувчиларнинг кенг оммаси орасида ўзига хос ахборот
иммунитети – медиасаводхонлик даражасини, яъни турли медиа, шакл ва жанрлардаги
ахборотларни тахлил қилиш, баҳолаш, яратиш ҳамда ўзларининг муносабатларини
шакллантиришга қаратилган кўникма ва тажрибаларини ошириб ривожлантириб бориш.
Медиасаводхонлик тушунчасини батафсилроқ кўриб чиқамиз. Унинг асосини
“инсонларни кўраётган, эшитаётган, ўқиётган маълумот ва хабарлари тўғрисида
саволлар беришга ундаш” модели ташкил этади. Медиасаводхонлик ахборот
истеъмолчиларида медиахабарлардаги ташвиқот ва цензурани, янгиликлар ва
дастурлардаги бир ёқлама ёндошувни ҳамда бунинг сабабларини кўра олишга имкон
берувчи тахлил қилиш, хабарларга таъсир қилувчи унинг таркибий қисмларини –
медианинг эгаси ҳамда молиялаштириш тизимини тушуниш қобилиятларини
шакллантиради.
Медиасаводхонликнинг мақсади – инсонларни тажрибали медиахабарлар
продюсерлари ва яратувчиларига айлантириш, медиаларнинг ҳар бир турининг устун
ва камчилик томонларини тушунтириш ҳамда мустақил медиаларни яратишдан иборат.
Медиасаводхонликнинг вазифаси – инсонларга, айниқса реклама ва PR
доирасидаги эҳтимолий манипуляцияларни, оммавий ахборот воситалари, фуқаролик ва
ижтимоий медиаларнинг объектив реаллик муносабатини шакллантиришдаги муҳим
ўрнини яхшироқ тушунишга ёрдам бериш орқали медиаистеъмолни фаол ва танқидий
жараёнга айлантиришдир.
Медиасаводхонлик ҳамда медиамалакалилик – медиатаълим натижасидир.
Фойдаланилган адабиётлар
1. Ўзбек тилининг изоҳли луғати - 5 жилдлик - Т.: Ўзбекистон миллий
энциклопедияси давлат илмий нашриёти, 2008.
8
2. Ўзбекистон Республикасининг “Ахборот эркинлиги принциплари ва
кафолатлари тўғрисида”ги Қонуни, 2002 йил 12 декабр.
3. Ўзбекистон давлат стандарти. O’z DSt ISO/IEC 2382-8:2007 “Ахборот
технологиялари. Ахборот хавфсизлиги. Атамалар ва таърифлар”.
4. Алексенцев А. И. О классификации конфиденциальной информации по видам
тайны // Безопасность информационных технологий - 1999 - № 3 - С. 65-71.
5. Фатьянов А. А. Концептуальные основы обеспечения безопасности на
современном этапе // Безопасность информационных технологий - 1999 -№ 1. - С. 26-40.
6. Ходжаев С. М. О видах конфиденциальной информации // Тошкент,
INFOCOM.UZ журнали, 2006, № 9, 56-61 бетлар.
АНАЛИЗ СЕТЕЙ ТЕЛЕКОММУНИКАЦИЙ КАК ОБЪЕКТОВ ОЦЕНКИ
ИНФОРМАЦИОННОЙ БЕЗОПАСНОСТИ
Джураев Р.Х., Ташкент, ТУИТ
В докладе рассмотрены вопросы анализа сетей телекоммуникаций как объектов
оценки информационной безопасности и их сертификации на основе Общих критериев
В последние годы в сфере связи и информатизации осуществляется большая работа
по модернизации существующих и построению современных сетей телекоммуникаций.
Многообразие сетей телекоммуникаций ставит ряд проблем, среди которых одной из
важнейших является проблема координации создания и развития защищенных сетей
телекоммуникаций. Попытки решить проблему информационной безопасности
исключительно криптографическими методами не обеспечивает должного результата,
поэтому в настоящее время в сфере связи и информатизации встает проблема обеспечения
не только конфиденциальности информации, но и обеспечения целостности самой
инфраструктуры и информации, а также доступности информационных ресурсов и услуг.
Ключевыми аспектами решения проблемы информационной безопасности сетей
телекоммуникации является выработка требований, критериев (показателей) и
соответствующих методик оценки уровня информационной безопасности.
Необходимо отметить, что оценка информационной безопасности сетей
телекоммуникаций должна проводиться в три этапа:
оценка
телекоммуникационной
технологии,
внедряемой
на
сети
телекоммуникаций, с точки зрения информационной безопасности;
- сертификация аппаратно-программного комплекса, внедряемого на сети
телекоммуникаций по требованиям безопасности информации;
- аудит информационной безопасности сетей телекоммуникаций с целью проверки
соответствия достигнутого уровня их информационной безопасности, заданному в
техническом задании на их разработку.
Используемые в настоящее время на практике подходы к обеспечению
информационной безопасности сетей телекоммуникаций должны определяться
следующими этапами:
- требованиями к информационной безопасности, реализуемыми системами
обеспечения информационной безопасности и регламентирующими соответствующими
нормативными документами в области информационной безопасности;
9
- реальными услугами и механизмами защиты, реализуемыми в системах
обеспечения информационной безопасности;
- существующей статистикой угроз безопасности для конкретной сети
телекоммуникации, потенциально возможными угрозами, а также причинами
уязвимостей.
Оценка информационной безопасности сетей телекоммуникаций должна
производиться с целью проверки соответствия достигнутого уровня информационной
безопасности заданному уровню при проектировании сетей телекоммуникаций. Оценка
информационной безопасности сетей телекоммуникаций является также важным
средством обеспечения гарантированности реализации выбранных механизмов, методов и
средств информационной безопасности.
В условиях динамичного развития сетей телекоммуникаций и возникновения
новых угроз информационной безопасности важным становится анализ и управление
рисками информационной безопасности. Анализ рисков состоит в том, чтобы выявить
существующие риски информационной безопасности и оценить их величину (дать им
качественную или количественную оценку). Управление рисками информационной
безопасности связано с принятием мер обеспечения информационной безопасности,
направленных на снижение частоты реализации угроз и размера ущерба в случае их
реализации.
Рассмотрим этапы анализа и управления информационными рисками:
- сначала необходимо определить все ценные информационные ресурсы, а также
объекты их хранения и обработки;
- далее определяется стоимость информационных ресурсов (или ущерб, который
нанесен от нарушения конфиденциальности, целостности или доступности ресурсов);
- кроме того, оценивается вероятность возникновения нарушений информационной
безопасности, определяются уязвимости, существующие в сетях телекоммуникаций и
вероятности их реализации;
- на основании полученных данных рассчитывается риск для каждого
информационного ресурса, который равен произведению вероятности возникновения
нарушений и ущерба, который понесет в случае нарушения информационной
безопасности.
Международный опыт развитых стран показывает что объективной и независимой
оценкой соответствия систем и средств обеспечения информационной безопасности
установленным требованиям безопасности является сертификация систем и средств на
соответствие требованиям безопасности информации. Наиболее важными нормативноправовыми документами при создании и развитии защищенных сетей телекоммуникаций
являются документы, стандартизирующие требования, показатели и критерии оценки
безопасности. К числу важнейших задач в области обеспечения информационной
безопасности сетей телекоммуникаций относятся:
- анализ и разработка требований, показателей, критериев и методов оценки
эффективности систем и средств обеспечения информационной безопасности;
- сертификация систем и средств обеспечения информационной безопасности на
основе современных требований и подходов.
Для проведения сертификации по требованиям безопасности информации
необходимо наличие критериев оценки, в качестве которых выступает набор требований
безопасности, сформулированных в соответствующих национальных и международных
стандартах.
Как показывает международная практика, в ведущих странах мира наме-тилась
устойчивая тенденция перехода от оценки безопасности информационных технологий по
национальным стандартам к их оценке и сертификации на основе международного
стандарта ISO/IEC 15408 «Критерии оценки безопасности информационных технологий»,
иначе называемого «Общие Критерии» (ОК).
10
Практически одновременно с ОК с целью унификации процедуры сертификации по
ОК разрабатывались версии Общей методологии оценки безопасности информационных
технологий (ОМО). В августе 2005г. были опубликованы версии 2.3 ОК и ОМО ,
положенные в основу стандартов ISO/IEC 15408:2005 и ISO/IEC18045:2005
соответственно, а в сентябре 2006г. появились версии 3.1 ОК и ОМО.
В поддержку стандарта ISO/IEC 15408 под эгидой ISO разработан целый ряд
нормативно–методических документов :
- руководство по разработке профилей защиты и заданий по безопасности;
- процедуры регистрации профилей защиты;
- общая методология оценки безопасности информационных технологий;
- инструментальные средства автоматизации разработки профилей защиты и
заданий по безопасности.
В целях эффективного решения вышерассмотренных задач сертификации
необходимо создание национальной системы сертификации систем и средств обеспечения
информационной безопасности по требованиям безопасности информации, разработка
методических основ их сертификации на основе Общих критериев.
РЕШЕНИЕ ВОПРОСА ПРОВЕДЕНИЯ БЕЗОПАСНОЙ ТРАНЗАКЦИИ В
ПЛАТЕЖНЫХ СИСТЕМАХ
Хайдарова М.Ю.,Ташкент
Аннотация –
Мақолада тўлов тизимларидаги хавфсиз транзакцияларни амалга
ошириш масаласининг SSL ва SET протоколларини қўллаш мисолида кўриб чиқилган.
Аннотация – В статье рассмотрен вопрос проведения безопасных транзакций в
платежных системах, на примере применения протоколов SSL и SET.
Важной составляющей систем электронной коммерции являются системы
проведения электронных платежей. Платежная система - система проведения расчетов
между финансовыми, бизнес-организациями и Интернет-пользователями в процессе
покупки/продажи товаров и услуг через Интернет. Именно платежная система позволяет
превратить службу по обработке заказов или электронную витрину в полноценный
магазин со всеми стандартными атрибутами: выбрав товар или услугу на сайте продавца,
покупатель может осуществить платеж, не отходя от компьютера. На данный период
актуальным вопросом является обеспечение безопасности в плетежных системах. На
сегодняшний день данный вопрос решается при помощи использования таких протоколов,
как SSL и SET.
Протокол SSL предназначен для решения задач обеспечения защиты
информационного взаимодействия. Протокол SSL позволяет серверу и клиенту перед
началом информационного взаимодействия аутентифицировать (или провести проверку
подлинности) друг друга (client-server authentification), согласовать алгоритм шифрования
и сформировать общие криптографические ключи. С этой целью в протоколе
используются двухключевые (ассиметричные) криптосистемы, в частности, RSA.
Конфиденциальность информации, передаваемой по установленному защищенному
соединению, обеспечивается путем шифрования потока данных на сформированном
общем ключе с использованием симметричных криптографических алгоритмов
(например, RC4_128, RC4_40, RC2_128, RC2_40, DES40 и др.). Контроль целостности
11
передаваемых блоков данных производится за счет использования так называемых кодов
аутентификации сообщений (Message Autentification Code, или MAC), вычисляемых с
помощью хэш-функций (например MD5). Целостность и аутентификация сообщения
обеспечиваются использованием электронной цифровой подписи. Для распространения
публичных ключей (и не только) была придумана специальная форма - сертификат
(certificate). Сертификат состоит из следующих частей: имя человека/организации,
выпускающей сертификат; субъект сертификата (для кого был выпущен данный
сертификат); публичный ключ субъекта; некоторые временные параметры (срок действия
сертификата и т.п.).
Наиболее перспективный стандарт или протокол безопасных электронных
транзакций в Интернете - SET (Security Electronics Transaction), предназначенный для
организации электронной торговли через сеть, также основан на использовании цифровых
сертификатов по стандарту Х.509. SET обеспечивает следующие специальные требования
защиты операций электронной коммерции: секретность данных оплаты и
конфиденциальность информации заказа, переданной вместе с данными об оплате;
сохранение целостности данных платежей; целостность обеспечивается при помощи
цифровой подписи; специальную криптографию с открытым ключом для проведения
аутентификации; аутентификацию держателя по кредитной карточке, которая
обеспечивается применением цифровой подписи и сертификатов держателя карточек;
аутентификацию продавца и его возможности принимать платежи по пластиковым
карточкам с применением цифровой подписи и сертификатов продавца; подтверждение
того, что банк продавца является действующей организацией, которая может принимать
платежи по пластиковым карточкам через связь с
процессинговой системой; это
подтверждение обеспечивается с помощью цифровой подписи и сертификатов банка
продавца; готовность оплаты транзакций в результате аутентификации сертификата с
открытым ключом для всех сторон; безопасность передачи данных посредством
преимущественного использования криптографии.
Основное преимущество SET перед многими существующими системами
обеспечения информационной безопасности заключается в использовании цифровых
сертификатов (стандарт X509, версия 3), которые ассоциируют держателя карточки,
продавца и банк продавца с рядом банковских учреждений платежных систем VISA и
MasterCard. SET позволяет сохранить существующие отношения между банком,
держателями карточек и продавцами, и интегрируется с существующими системами,
опираясь на следующие качества: открытый, полностью документированный стандарт для
финансовой индустрии; основан на международных стандартах платежных систем;
опирается на существующие в финансовой отрасли технологии и правовые механизмы.
Платежные системы являются наиболее критичной частью электронной коммерции и
будущее их присутствия в сети во многом зависит от возможностей обеспечения
информационной безопасности и других сервисных функций в Интернете. SSL и SET - это
два широко известных протокола передачи данных, каждый из которых используется в
платежных системах Интернета. Мы попытаемся сравнить SSL и SET и оценить их
некоторые важнейшие характеристики.
Итак, рассмотрим важнейшую функцию аутентификации (проверки подлинности) в
виртуальном мире, где отсутствуют привычные физические контакты. SSL обеспечивает
только двухточечное взаимодействие. Мы помним, что, в процесс транзакции кредитной
карточки вовлечены, по крайней мере, четыре стороны: потребитель, продавец, банкэмитент и банк-получатель. SET требует аутентификации от всех участвующих в
транзакции сторон.
SET предотвращает доступ продавца к информации о пластиковой карточке и доступ
банка-эмитента к частной информации заказчика, касающейся его заказов. В SSL
разрешается контролируемый доступ к серверам, директориям, файлам и другой
информации.
12
Оба протокола используют современную криптографию и системы цифровых
сертификатов, удостоверяющих цифровые подписи взаимодействующих сторон. SSL
предназначен преимущественно для защиты коммуникаций в Интернете. SET
обеспечивает защиту транзакций электронной коммерции в целом, что обеспечивает
юридическую значимость защищаемой ценной информации. При этом через SET
транзакция происходит медленней, чем в SSL, и ее стоимость намного выше. Последняя
характеристика весьма актуальна для сегодняшнего российского рынка, на котором пока
не считают риски и эксплуатационные расходы.
Следует добавить, что, используя SSL, потребители подвергаются риску раскрытия
реквизитов своих пластиковых карточек продавцу.
SET функционирует на разных вычислительных платформах таких компаний, как
IBM, Hewlett Packard, Sun Microsystems и Microsoft.В свою очередь SSL используется в
основном в Веб-приложениях и для защиты коммуникаций в Интернете. Например, SSL
протокол сейчас реализован в Netscape-навигаторах и Netscape-серверах. Существует
также свободно распространяемая версия SSL, называемая SSLeay. Она содержит
исходный код на C, который может быть встроен в такие приложения, как Telnet и FTP.
Благодаря этим качествам SSL получил широкое распространение в корпоративных
интранет-сетях и в системах с небольшим количеством пользователей.
SET и SSL будут развиваться, находя своих новых пользователей, в то время как
другие протоколы будут заполнять белые пятна в секторе протоколов безопасной
передачи данных в Интернет/интранет-сетях, оставленные первыми участниками.
НАЦИОНАЛЬНЫЙ КРИПТОПРОВАЙДЕР, КАК ОДИН ИЗ ФАКТРОВ
ОБЕСПЕЧЕНИЯ БЕЗОПАСНОСТИ ЭЛЕКТРОННОЙ КОММЕРЦИИ В
РЕСПУБЛИКЕ УЗБЕКИСТАН
Мансурова Махина Яшнаровна, Ташкент
Аннотация- Мақолада электрон тижоратни хавфсизлигини миллий криптопровайдер
ёрдамида таьминлаш, унинг мохияти ва қўллаш сохалари кўриб чиқилган.
Аннотация - В статье рассмотрен вопрос обеспечения безопасности электронной
коммерции посредством национального криптопровайдера, его назначение и области
применения.
С начала 21-го века электронная коммерция ускоренными темпами проникла в
различные сферы социально-экономической деятельности, и постепенно стала образом
жизни для многих малых и средних предприятий. На сегодняшний день приоритетным
вопросом ведения электронной коммерции является обеспечение безопасности
электронного документа и электронного документооборота. На сегодняшний день
разработан целый ряд методов обеспечения безопасности обмена данными в электронной
коммерции. Одним из способов защиты данных является использование средств
криптографической защиты информации, одним из которых является криптопровайдер.
Криптопровайдером или CSP(Cryptographic Service Provider) является независимый
программный модуль, интегрированный в MS Windows и содержащий библиотеку
криптографических функций со стандартизованным интерфейсом, CSP выполняет такие
криптографические функции как формирование/проверка электронной цифровой подписи
(ЭЦП), шифрование информации. Также он выполняет роль хранилища для ключей всех
13
типов. Предназначением криптопровайдера является авторизация и обеспечение
юридической значимости электронных документов при обмене ими между
пользователями, обеспечения конфиденциальности и контроля целостности информации и
др.
Наряду со стандартными криптопровайдерами, поставляемыми Microsoft, можно
использовать CSP собственной разработки, предварительно сертифицировав и подписав
его. Использование MS Windows CSP иногда бывает неприемлемо по разным причинам,
например, государственными органами или организациями. Например, в схеме
«Стандартный Windows криптопровайдер + почтовый клиент» обеспечивается защита
почтовых
сообщений
с
использованием
несертифицированных
средств
криптографической защиты информации. А в схеме «Сертифицированный национальный
криптопровайдер + почтовый клиент» защита электронных сообщений осуществляется с
помощью сертифицированных криптографических алгоритмов. Одной из положительных
сторон схемы является также существенная денежная экономия.
Средством криптографической защиты информации (Закон «Об электронной
цифровой подписи - средством электронной цифровой подписи) является национальный
криптопровайдер Cryptografic Service Provider (CSP). Архитектура национального
криптопровайдера реализована в виде программного продукта.
Предназначением этого программного средства является решение следующих задач:
- шифрование (защита) передаваемых или хранимых конфиденциальных данных;
- подписание данных электронной цифровой подписью и обеспечение контроля
целостности передаваемых, используемых или хранимых данных;
- аутентификация субъектов с целью предотвращения отказа субъекта от авторства
сообщения;
- обеспечение функции SSL-протокола.
Выше перечисленные
задачи решаются с применением криптографических
преобразований, под которыми понимаются преобразование данных при помощи
шифрования, выработки (проверки) хэш и формирования (проверки) электронной
цифровой подписи.
Национальный криптопровайдер (CSP) отвечает следующим требованиям:
1. Алгоритм шифрования реализован в соответствии с национальным стандартом
O’zDST 1105:2006 «Алгоритм шифрования данных».
2. Алгоритм электронной цифровой подписи реализован в соответствии с
национальным стандартом O’zDST 1092:2005 «Процессы формирования и проверки
электронной цифровой подписи».
Национальный криптопровайдер помимо формирования (проверки) ЭЦП также
выполняет функцию шифрования информации, обеспечивая конфиденциальность
информации. В зашифрованном виде информация остается на период ее передачи по сети
и при хранении в базе данных или на сервере. Расшифровать информацию может лицо,
которому она предназначена, при помощи своего ключа. При реализации функции
шифрования в национальном криптопровайдере был применен национальный алгоритм
криптографической защиты информации – разработанный и принятый Государственный
стандарт O`zDst 1105: 2006 «Криптографическая защиты информации. Алгоритм
шифрования данных». При реализации криптопровайдера обеспечена возможность
реализации и использования его в системе Центра регистрации ключей электронной
цифровой подписи (ЭЦП), с применением сертификатов открытых ключей ЭЦП в
соответствии с международными рекомендациями RFC 3280 “Internet X.509 Public Key
Infrastructure. Certificate and Certificate Revocation List (CRL) Profile” с использованием
алгоритмов,
реализуемых
национальным
криптопровайдером.
Разработанный
национальный криптопровайдер может применяться в составе прикладного программного
обеспечения систем.
В настоящее время национальный криптопровайдер встроен и функционирует в
14
следующих системах:
- система защищенной электронной почты Е-ХАТ;
- Центр регистрации ключей ЭЦП на основе национальных стандартов
формирования ЭЦП и шифрования.
Национальный криптопровадер может быть успешно внедрен в различные
информационные системы для решения задач обеспечения конфиденциальности
(шифрование данных), целостности и авторизации (применение ЭЦП), аутентификации
пользователей (применение ЭЦП). Для этого криптопровайдер устанавливается на
пользовательском компьютере и должен интегрироваться с прикладным программным
обеспечением информационной системы. Национальный криптопровайдер обеспечивает
возможность использования различных устройств хранения ключевой информации –
жесткий диск, внешний носитель (floppy, flesh), защищенные носители (e-tokin, i-key).
Данное решение необходимо для:
- обеспечения юридически значимого электронного документооборота с
применением ЭЦП;
- обеспечения требований по обеспечению конфиденциальности данных
(шифрование) и целостности информации (ЭЦП).
Национальный криптопровайдер может быть успешно применен в различных
информационных системах: электронная почта, электронный документооборот,
электронные платежи, удаленный доступ к веб-ресурсам и базам данных,
автоматизированная обработка различной информации и др. При реализации
национального криптопровайдера в информационные системы можно обеспечить
юридически значимый обмен электронными документами на основе электронной
цифровой подписи или обеспечить необходимые требования по защите информации, в
том числе конфиденциальной, который является наиважнейшим фактором обеспечения
безопасности электронной коммерции.
ЭЛЕКТРОН ҲУКУМАТ ТИЗИМИДА ДАВЛАТ ОРГАНЛАРИ ВА АҲОЛИ
МУНОСАБАТЛАРИ МОДЕЛЛАРИ
Якубов М.С., Очилов Ш.К., Тошкент
Аннотация – Мақолада давлат органлари ва аҳоли муносабатларини электрон
ҳукумат тизимидаги моделлари таҳлил қилинган.
Аннотация – В статье проанализированы модели взаимоотношений между
государствеными органами и населением в системе электроного правительства.
Жамият билан давлат хизмати ўртасидаги мулоқот – демократик давлат қуришнинг
асоси ҳисобланади. Бутун жахон замонавий давлат бошқарув органлари шуни кенгроқ
англамоқдаки, улар тузилмаси фаолиятининг самарадорлиги тўғридан-тўғри кутилаётган
эҳтиёж ва аҳолининг фикрига боғлиқ. Эхтиёж, кутилаётган натижа ва аҳоли фикрига
нисбатан эътибор доимий равишда кечади, лекин турли даражада ва турли усулда амалга
оширилади, уч модел асосда жамият билан иш олиб борувчи танланган ташкилотнинг
олиб борган ишига қарабтурли натижаларга эришилади.
Биринчи модел бир томонлама ташкилот фаолияти хақидаги маълумотни жамиятга
етказади. Биз бугунги кунда шунинг гувохи бўлмоқдамизки, давлат бошқаруви ва
органлари қандай тартибда ахборот хизматларини, жамият билан алоқа бўлимларини
15
очмоқдаки, оммавий ахборот воситалари орқали ташкилот фаолияти ҳақидаги хаққоний
маълумотларни тарқатиб бормоқда. Маълумотни бир томонлама тарқатилиши эвазига
(ташкилотдан – жамиятга) бу модел, «асимметрик» деб номланади, ва асосан
ташвиқотчилик усуллари ёрдамида ва ўзининг ижобий фазилатлари ва фаолияти хақидаги
маълумотларни тарқатади.
Иккинчи модел ўзи ҳақидаги ижобий маълумотларни тарқатади ва ташкилотнинг
фойдали қарорлар қабул қилишида жамоатчилик фикрига стратегик жиҳатдан ёндошади.
Бу модел, «икки томонлама асимметрик» деб номланади, чунки ҳар икки томондан таъсир
ўтказилади, натижада у ёки бу таъсир қабул қилинади. Бунда жамият билан ўзаро
муносабатда бўлаётган корхонага самара келиш келмаслиги асосий эътиборда бўлади.
Давлат бошқаруви ва органлари фаолиятида бу модел бизнинг мамлакатимизда айниқса
сайлов компаниялари жараёнида ва оммавий бўлмаган қарорларни қабул қилишда кенг
фойдаланилади.
Учинчи модел, «икки томонлама симметрик» ташкилот ва жамият ўртасидаги
муносабатларни яхшилаш ва юзага келиши мумкин бўлган келишмовчиликларни олдини
олиш учун ташкилот томонидан ўзининг фаолияти ҳақидаги маълумотни аҳолига
мунтазам равишда етказишга асосланган фаолият.
Лекин учинчи модел бошқарув органлари фаолиятини жамоатчилик фикри, аҳоли
қизиқишлари ва эҳтиёжларини инобатга олган ҳолда мунтазам равишда бошқарувни
мослаб боради.
Бу модел юқори даражада демократик давлат талабларига тўлиқ жавоб беради, бу
моделда жамоа қисман бошқарув жараёнида иштирок этади.
Давлат бошқарув органларининг ва маҳаллий ўз-ўзини бошқарувнинг жамият билан
ўзаро муносабатларида «икки томонлама симметрик» хизмат моделидан фойдаланишдан
мақсад ўзаро маъқул бўлган келишилган қарорларни қабул қилиш ва ўз вақтида мослаш
орқали ривожланишга дахлдор барча жамоани ўзаро муносабатларини таъминлашдан
иборат.
Демократия – давлатни халқ иши билан қонуний бошқариш шакли деб юритилаётган
формула тарзида қаралса, давлат барча халққа тегишли ва у томонидан амалга оширилади,
гўёки давлатда ҳеч қандай қизиқиш йўқ, қизиқиш фақат халқда бўлиб, хукумат фақат уни
амалга оширувчи механизми хисобланади.
Масаланинг бу тарзда қўйилиши ахборот жамиятини қуриш жараёнида кенг маънода
долзарб хисобланиб, «Электрон ҳукумат» нинг шаклланиши муҳимлиги ва
муқаррарлигидан далолат беради.
Электрон ҳукумат деганда давлат ҳукумати органлари олдида турган вазифаларни
ечиш усулларини ўзгартириш учун яратилаётган ахборот тузилмаси тушунилади.
Агар авваллари давлат секторлари ахборот технологияларини алохида департамент
ва ташкилотларда ички фойдаланиш учун қўллаган бўлса, эндиликда ахборот
технологиялари электрон асрда қимматга эга бўлиб, «тезкор, яхши, арзон, мурожаат
мумкин бўлган» тамойилларига асосланган холда фаолият юритади, кенг омма эҳтиёжи
ёки қизиқишига қараб хизмат кўрсатувчи давлат хизмати шаклида ишлайди.
Шундай қилиб «электрон ҳукумат» ўз фаолияти мақсади сифатида хукуматга
қаратилган асосий эътиборни эндиликда фуқароларни талаб ва муаммоларини ечишга
қаратишда деб ҳисоблайди.
Амалда бу қуйидагича ифодаланади, фуқаро маълумотномани ва бошқа
хужжатларни бир ташкилотдан бошқасига олиб бориб ўтирмайди, бу ё шахсий
ҳуқуқларини расмийлаштириш ёки бирон бир рўйхатдан ўтиш бўлсин у оддий давлат
органларига мурожаат қилади, келгуси барча хужжат ва маълумотлар алмашинуви унинг
иштирокисиз белгиланган муддатда амалга оширилади.
Шуни алоҳида таъкидлаш лозимки, жамиятни ривожланишида муаммоларни ечиш
демократик муносабатларни такомиллашуви фуқаролар ва давлат хизматчилари
ўртасидаги мулоқот шаклида амалга оширилади. Шунинг учун ҳам жамият билан алоқа
16
тузилмаси фаолияти такомиллашади, биринчи навбатда ижро этиш давлат органларида,
ахборотнинг ишончлиги, юқори савиядаги мутахассисликка мослиги, ўзаро ишонч ва кенг
доирада давлатнинг очиқлиги тамойилларига асосланган жамият билан ўзаро
муносабатларнинг янги технологиялари ишлаб чиқилади. Бу тамойиллар давлат
хизматлари ва жамиятнинг ўзаро муносабатларини юқори даражадаги самарадорлигини
таъминлайди, қачонки, “электрон ҳукумат” яратилган бўлса.
Ижтимоий муносабатлар тизимида давлат хизмати жамият аъзоларининг фаровон
ҳаёт кечиришлари ва бошқа ижтимоий фаолиятларни таъминлаш воситасининг зарурий
шарти сифатида намоён бўлди.
ЭЛЕКТРОН ҲУКУМАТДА ДАВЛАТ ҲОКИМИЯТИ ОРГАНЛАРИ ВА
ФУҚАРОЛАР ЎЗАРО МУНОСАБАТЛАРИНИ ШАКЛЛАНТИРИШ
Якубов М.С., Султон-Сохиб Х., Комолов Ж., Тошкент
Аннотация – Мазкур мақолада давлат ҳокимияти органлари ва фуқаролар ўзаро
муносабатларини электрон ҳукумат шароитида шакллантириш масалалари баён этилган.
Аннотация – В данной статье рассмотрены вопросы организации взаимоотношений
между органами государственного хокимията и гражданами в условиях электронного
правительства.
Ижтимоий демократик давлатнинг шаклланиши ва ривожланишидаги дунёвий
тажриба шундан далолат берадики, унинг асосий кўрсаткичлари шахс ва ҳукуматнинг
бегоналигини бартараф этиш, ҳукуматнинг демократлиги ва очиқлиги тамойиллари
асосида давлатни жамиятнинг ижтимоий жавобгар воситасига айлантириш, барча аҳоли
қатламлари эҳтиёжларини қондирувчи изчил сиёсатни олиб борувчи, ижтимоий
одилоналик, келишув ва ўзаро фойдали ҳамкорликда намоён бўлади.
Юқорида келтирилган ҳусусиятларни амалда шакллантириш мақсадида давлат ва
жамият ўртасида доимий муносабатни таъминлаш лозим, чунки демократик бошқарув
тизими ўз фаолиятида шаффофлик тамойилларини четлаб ўтган ҳолда очиқлик
жараёнисиз фаолият юрита олмайди.
Давлат хизматчилари
бундай ўзаро муносабатларни маъмурий амалларни
бажаришнинг энг содда тизими бўлганда амалга ошириши мумкин, чунки давлат хизмати
ахолига мумкин қадар яқин бўлиши керак. Эхтиёжни таъминлаш учун катта тезлик,
мувофиқлик, самарадорлик ва ҳаракатчанлик, ҳамда унинг жамият билан ўзаро
муносабатлар технологияси яратилган бўлиши зарур.
Давлат хизматининг жамият билан ўзаро мулоқоти бир қатор қоидаларга асосланади.
Муҳимлари сифатида қуйидагиларни келтириш мумкин: жамиятни доимо ва мунтазам
равишда олиб борилаётган сиёсат ҳақида хабардор қилиб бориш лозим, чунки бу
маълумот ҳар бир фуқарога етиб борсин; жамият билан алоқада бўлаётган тадбирлар
тузилмаси ягона тадбирлардан иборат бўлмаслиги керак, аксинча бир неча ўзаро
келишилган тадбирлардан иборат бўлиши керак; маълумотларни тўғри ва тўлиқ бўлиши
талаб этилиши лозим; жамият учун йўналтирилаётган маълумот содда ва тушунарли
шаклда бўлиши керак; жамият билан алоқа юқори этика даражасида бўлиши ва салбий
бўлмаслиги керак.
17
Аҳоли эҳтиёжлари ва талаблари асосида қабул қилинган бошқарув қарорлари юқори
натижаларни беради, шунинг учун ҳам мунтазам равишда фуқаролар «эътирозлар куни»,
«ғоялар куни», «таклифлар куни» ўтказилишини тақозо этади.
Давлат хизматчилари тузилмасига ишончни шакллантириш мақсадида муаммони
очиқ муҳокамасида изчил иштирок этиш лозим.
Давлат ҳукумат органлари маданияти фақат ички «раҳбар – хизматчи», «хизматчи –
хизматчи» муносабатлар билангина чекланмай, балки «мижоз» га, яъни фуқарога ҳам
дахлдордир.
Шуни эътиборда тутиш керакки, инсон ақл ва мантиқ қонунияти билан яшамайди.
Ҳар бир инсонда бир қатор ҳусусият мавжудки, улар инсоннинг маълумотларни қабул
қилишига сезиларли таъсир кўрсатади. Яъни инсон нимани эшитгиси, кўргиси келса ва
нимани ҳис этишни хоҳласа шуни қилади. Шунинг учун ҳам жамият билан алоқани инсон
ҳусусиятларини ўзгартира оладиган етук мутахассислар амалга ошириши мақсадга
мувофиқ. Лекин улар бу ишни юқори даражадаги маънавий маъсулият билан амалга
оширишлари лозим. Давлат ҳукумати ва жамият ўртасидаги муносабатларни
шакллантиришда риоя этилиши лозим бўлган юқорида келтирилган қоидаларни амалга
оширилиши фуқароларнинг онгини оширишда ва аҳолида махаллий ўз-ўзини бошқариш
муаммоларига изчил қизиқишини уйғотади.
Жамоатчиликнинг маҳаллий бошқарув ишларига қизиқишини ошиб бориши
ҳукуматни бир гурух кишилар қўлида бўлиб қолиш имкониятини йўққа чиқаради ва
сайланган маъмурият ходимларини юкланган вазифаларни маъсулият билан
бажаришларига ёрдам беради.
Фукаролар ўзларининг фикрларини маълум чегара доирасида бошқа фуқароларга
зарар етказмаган холда, миллий хавфсизликка ёки жамоат тартибига хавф туғдирмаган
ҳолда оммавий тарзда ифода қилиш ҳуқуқларига эга бўлиши лозим.
Очиқ хақиқат шундан далолат берадики, демократик жамият қуришда ижтимоий
бошқариш жараёнларида ахборотнинг аҳамияти ошиб бормоқда ва давлат органларидан
кенг доирада очиқлик, фуқаролар томонидан тегишли қарорларни қабул қилиш мақсадида
жамоатчилик билан узвий мулоқотда бўлиш ва ахборот бошқарув сиёсатида объект ва
субъектлар барча муносабатларида мувозанатни таъминлашни талаб этади.
АХБОРОТ-КОММУНИКАЦИЯ ТЕХНОЛОГИЯЛАРИ АСОСИДА ДАВЛАТ
ХИЗМАТЛАРИНИ ТАШКИЛ ЭТИШ
Якубов М.С., Мансурова М.Я., Тошкент
Аннотация – Мазкур мақола давлат хизматларини ахборот-коммуникация
технологиялари асосида ташкил этишга бағишланган
Аннотация – Статья посвящена организации государственных услуг на основе
информационно-коммуникационных технологий.
Ўзбекистон Республикасида замонавий давлат хизмати ҳуқуқий материя
ҳисобланиб, доимий ҳаракатда: у ўзгаради, тўлдирилади, мавжуд муаммоларни ечишда
янги воситаларни излайди, давлат хизмат муносабатларини мувофиқлаштирувчи янги
меёрий хужжатлар ишлаб чиқилади.
18
Бу ерда асосий фактор сифатида фаолият юритиш жараёнида объектга нисбатан
содир этилаётган таъсир ҳисобланади.
Хизмат бошқа инсонлар учун иш фаолияти ҳисобланади. Хизмат жараёнида таъсир
этувчи объект сифатида инсон, шахс бевосита иштирок этади, инсон бу аниқ индивид.
Хизмат жамият билан бирга яратилди ва жамиятда жамият учун ривожланиб борди.
Давлат хизматини бир томондан назарий тадқиқот объекти сифатида қараш мумкин,
иккинчи томондан эса меёрий-ҳуқуқий тушунча сифатида қараш мумкин. Назарий
жиҳатдан давлат хизмати қуйидаги кўринишда ифодаланиши мумкин: ижтимоий, сиёсий,
ҳуқуқий, ташкилий, маънавий, иқтисодий. Ҳуқуқий маънода давлат хизмати
муносабатларини ҳуқуқий жиҳатлари тадқиқ этилади, жорий этилиш натижасида давлат
хизматлари вазифаларини амалий бажарилишига эришилади.
Давлат хизмати – мураккаб ижтимоий-ҳуқуқий институт ҳисобланади. Бу институт
давлат хизмати муносабатларини мувофиқлаштирувчи меёрий-ҳуқуқий тизими
ҳисобланади, яъни ҳуқуқ, мажбурият, чегаралари, ман этилганлик, рағбатлантириш,
хизматчиларнинг маъсулияти, давлат хизматини ўташи, ташкил этилиш тартиби ва хизмат
муносабатларини якунлаш. Амалдаги назария нуқтаи назаридан қаралганда давлат
деганда давлат ташкилотлари, корхоналари, бирлашмалари ва уюшмаларидаги хизматлар
тушунилади.
Бундай давлат хизматини ўтовчи сифатида «электрон хукумат» қаралади.
«Электрон хукумат» лойихасининг қимматлилиги сарф харажатларни камайиши,
фуқароларнинг қимматли вақтини, тадбиркорларнинг вақти ва воситаларини, жамият
тизимига келтираётган қўшимча нархни тежашида намоён бўлади.
Бир қатор дунё мамлакатларида ахборот жамиятининг шаклланиши, бу йўналишда
давлат хизмати фаолиятида янги технологияларни ривожланишида ва амалда тадбиқ
этилишида ўз аксини топмоқда.
Бу муаммо бизнинг мамлакатимиз учун жуда долзарб, чунки давлатни мукаммал
ташкил
этилмаганлиги
жуда
қимматга
тушмоқда.
Бугунги кунда Ўзбекистонда ўтказилган тадқиқотлар ва экспертлар бахолашига кўра
фуқароларнинг йиллик давлат хизматларига бўлган мурожаатлари ярим млрд. инсонсоатни ташкил этади. Фуқароларнинг мурожаатларини қайта ишлаш учун 100 минга яқин
давлат хизматчилари шуғулланадилар, ўз-ўзидан уларнинг вақт харажатлари умумий
фойдали мехнат вақтидан олиб ташланади. Бундан ташқари одатий холда (фуқаро ва
давлат хизматчиси бевосита боғланишида) барча маълумотлар алмашинувида у ёки бу
хатоликларга йўл қўйилади. Мухим жихатлари яна шундаки, меёрий хужжатни ишлаб
чиқиш ва қабул қилишдан уни республика миқёсида амалда жорий этилишига қадар ўрта
хисобда икки йил ўтади.
Шунинг учун ҳам бугунги кунда ҳар қачонгига кўра ижтимоий жараёнларни ташкил
этувчи асосий фактор сифатида давлатнинг ахамияти биринчи даражали деб қаралади.
Шундан келиб чиққан холда давлат хизматларига халққа хизмат кўрсатишида катта
маъсулият юкланади.
Юқоридагилардан келиб чиққан ҳолда «электрон ҳукумат» ўз зиммасига қуйидаги
вазифаларни олади:
- фақаролик жамияти учун давлат ахборотининг очиқлиги ва шаффофлигини
таъминлаш орқали жамият ва давлат хамкорлигини мустахкамлаш, ижтимоий бошқарувда
фуқароларнинг тўғридан-тўғри иштирокини кенгайтириш ва бошқарув органларига
электрон мурожаатни яхшилаш;
- фуқароларга кўрсатилаётган давлат хизматлари сифатини яхшилаш ва турларини
кенгайтириш;
- давлат органлари фаолиятини оптималлаштириш (корхона ва ташкилотларга ягона
тизимни ташкил этувчилари сифатида фаолият юритишларига имконият яратиш, масалан,
давлат хизмати учун Интернет-тармоғини яратиш ва барча давлат хизматчиларини
хавфсиз электрон почта билан таъминлаш; давлат органлари маълумотларини фуқаро ва
19
ташкилотларга етказиб беришда маъмурий юкламаларни камайтириш учун давлат
органлари орасида ўзаро ахборот алмашинувини яхшилаш);
- бошқарувга ажратилаётган бюджет сарф ҳаражатларини оптималлаштириш.
Давлат хизмати имкониятларидан келиб чиққан ҳолда қуйидаги холатларни алоҳида
келтириш лозим, фуқароларнинг давлат хизматлари билан ўзаро муносабатларида
маъсулиятлари ошади ва тез-тез ўз эҳтиёжлари ва кутаётган натижаларини баён
қиладилар.
«Электрон хукумат»га ўтиш туфайли фуқаролар махаллий жамоат хаётида ва
демократик жараёнларда актив иштирок этадилар. Улар муаммосиз, қисқа вақтда кам
харажатда давлат хизматига боғланиши ва керакли маълумотга ва махсус хужжатга
мурожаат учун рухсат олиши мумкин. Агар бирон бир комитетнинг йиғилиши, оммавий
хисоботида бевосита иштирок этиш имкони бўлмаса электрон хат юбориши ёки
Интернетга ахборотни мунозара шаклида жойлаши мумкин. Бундан ташқари давлат
хизматини автоматлаштириш охир оқибат «тўғридан-тўғри демократияга» олиб келиши
мумкин, бунда номзодлар мулоқоти ва овоз бериш Интернет орқали амалга оширилади.
Фуқароларга кўрсатилаётган давлат хизматлари сифатини яхшилаш ва турларини
кенгайтириш масаласига келганимизда, давлат ташкилотлари фуқароларнинг шахси
кимлигини ва қайси шахсга хизмат кўрсатаётганлигини рўйхатга олишда янги
технологиялардан фойдаланиши мумкин. Бундай турдаги хизматларга маълумот бериш,
фуқароларнинг аниқ бир муаммоларини мухокама қилиш, хужжат тақдим этиш, лицензия,
солиқ тўлаш, моддий ёрдам, ижтимоий дастурни амалга ошириш, жумладан: таълим
олиш, тиббий ёрдам таъминоти, суғурта тўловлари, нафақа ва бошқалар. Шу каби
хизматлар тижоратга ва бошқа ташкилотларга, шунингдек, давлат ташкилотларига
кўрсатилиши мумкин.
Бунда давлат хизмати олдида ўз фаолиятини оптималлаштириш мақсадида
қуйидаги вазифалар туради: тайёрланаётган хужжатлар сифатини ошириш; ижро этиш
тартибини мустаҳкамлаш; иш юритиш жараёнини тартибга солиш; ташкилотлараро
ахборот алмашинувини тезлаштириш; қарорлар қабул қилиш жараёнларини
соддалаштириш; хатоликлар сонини камайтириш; фуқаро ва ташкилотлар билан
ишлаганда қўпол муносабатда бўлмаслик; жамият олдида давлат институтлари ишончи ва
ҳурматини ошириш; халқаро аренада давлат мавқеини мустаҳкамлаш
АЛГОРИТМЫ ОБЕСПЕЧЕНИЯ ИНФОРМАЦИОННОЙ БЕЗОПАСНОСТИ В
СТАНДАРТЕ GSM
Сулайманов У., Иноятов Х., Юнусова Ш.
(Магистранты ТУИТ)
Радиосвязь по своей природе является более уязвимой для прослушивания, чем
связь по проводам. Благодаря высокой пропускной способности, эффективности и
открытым стандартам GSM был выбран в качестве международного стандарта.
GSM - это аббревиатура, означающая цифровой стандарт мобильной связи по
радиоканалу, расшифровывается как Global System for Mobile Communications. GSM
телефон, по сути, представляет собой сплав компьютера и радиостанции. Речь
оцифровывается, шифруется помехоустойчивыми и криптографическими алгоритмами, и
в таком виде передается.
В стандарте GSM с целью повышения криптографической защиты информации
используется алгоритм аутентификации, шифрование поточным шифром и алгоритм
генерации ключей.
20
Телефонный разговор в
телекоммуникационной системе стандарта GSM
передается в цифровой форме в виде последовательности кадров. Каждый кадр
передаваемой информации фактически шифруется своим ключом шифрования, которое
обеспечивается поточным шифром.
В стандарте GSM термин "безопасность" понимается как исключение
несанкционированного использования системы и обеспечение секретности переговоров
подвижных абонентов. Определены следующие механизмы безопасности в стандарте
GSM:
- аутентификация;
- секретность передачи данных;
- секретность абонента;
- секретность направлений соединения абонентов.
Защита сигналов управления и данных пользователя осуществляется только по
радиоканалу.
Основу системы безопасности GSM составляют три секретных алгоритма
(официально не раскрытые и поныне, которые сообщаются лишь тем, кому это требуется
по необходимости - поставщикам оборудования, операторам связи и т.д.):
А3 – алгоритм аутентификации, защищающий телефон от клонирования;
А8 – алгоритм генерации сеансового ключа для потокового шифрования
информации в канале связи между сотовым телефоном и базовой станцией после
аутентификации;
A5 – собственно алгоритм шифрования оцифрованной речи для обеспечения
конфиденциальности переговоров. В GSM используются две основные разновидности
алгоритма.
Для исключения несанкционированного использования ресурсов системы связи
вводятся и определяются механизмы аутентификации или проверки подлинности
абонента. Аутентификация определяется с помощью алгоритма А3.
Необходимо сразу отметить, что каждый отдельный оператор выбирает принцип
действия алгоритма A3. Таким образом, A3 не является стандартизованным, а
определяется оператором. Однако если оператор не хочет придумывать свой алгоритм A3,
он может воспользоваться стандартной реализацией алгоритма.
С помощью заложенной в SIM информации в результате взаимного обмена
данными между подвижной станцией и сетью осуществляется полный цикл
аутентификации и разрешается доступ абонента к сети.
Процедура проверки сетью подлинности абонента реализуется следующим
образом. Сеть передает случайный номер (RAND) на подвижную станцию. Подвижная
станция определяет значение отклика (SRES), используя RAND, Ki и алгоритм A3: SRES
= Ki [RAND].
Подвижная станция посылает вычисленное значение SRES в сеть, которая сверяет
значение принятого SRES со значением SRES, вычисленным сетью. Если оба значения
совпадают, подвижная станция может осуществлять передачу сообщений. В противном
случае связь прерывается, и индикатор подвижной станции должен показать, что
опознавание не состоялось. По причине секретности вычисление SRES происходит в
рамках SIM. Несекретная информация (такая как Ki) не подвергается обработке в модуле
SIM.
Для обеспечения секретности передаваемой по радиоканалу информации вводится
следующий механизм защиты. Все конфиденциальные сообщения должны передаваться в
режиме защиты информации. Алгоритм формирования ключей шифрования А8 хранится
в модуле SIM. После приема случайного номера RAND подвижная станция вычисляет,
кроме отклика SRES, также и ключ шифрования (Кс), используя RAND, Ki и алгоритм А8:
Кс = Ki [RAND].
21
Ключ шифрования Кс не передается по радиоканалу. Как подвижная станция, так и
сеть вычисляют ключ шифрования, который используется другими подвижными
абонентами. По причине секретности вычисление Кс происходит в SIM.
В качестве алгоритма шифрования в GSM используются алгоритмы из семейства
A5. Алгоритм описан в стандарте GSM 03.20. Используется для шифрования голосовых
данных и конфиденциальных сигнальных сообщений на участке подвижная станция –
базовая станция. На всем остальном участке транспортной сети трафик остается
незашифрованным.
На сегодняшний день семейства A5 всего 3:
 A5/1 — поточный шифр, наиболее распространенный на сегодня. " A5/1 —
сильная" версия шифра для избранных стран
 A5/2 — вариант предыдущего алгоритма и очень похож на первый вариант. В
настоящее время не используется. A5/2 — ослабленная для всех остальных.
 A5/3 — блочный шифр. Разработан в 2002 году с целью заменить устаревший A5/1.
Однако в настоящее время используется только в 3GPP сетях. У алгоритма найден
ряд уязвимостей, но о практических атаках речи пока не идет.
Система защиты сетей GSM имеет серьезные недостатки на многих уровнях защиты. В
связи с этим этот вопрос остается
актуальным и необходимо требуется
усовершенствовать системы защиты сетей GSM.
АЛГОРИТМ ОЦЕНКИ РИСКОВ ПРИ АУДИТЕ ИНФОРМАЦИОННОЙ
БЕЗОПАСНОСТИ
М.М.Каримов, К.А.Ташев, А.Т. Имамалиев, А.А. Иброхимов (Ташкент, ТУИТ)
Mazkur maqolada hozirgi kunda dolzarb bo’lgan axborot xavfsizligi auditida xavfxatarlarni baholash algoritmi ko’rib chiqilgan.
В данной статье рассматривается алгоритм оценки рисков при аудите
информационной безопасности, который является наиболее актуальным в настоящее
время.
Для того, чтобы оценить риск информации, необходимо проанализировать все
угрозы, действующие на информационную систему, и уязвимости, через которые
возможна реализация угроз.
Исходя из введенных владельцем информационной системы данных, можно
построить модель угроз и уязвимостей, актуальных для информационной системы
компании. На основе полученной модели будет проведен анализ вероятности
реализации угроз информационной безопасности на каждый ресурс и, исходя из этого,
рассчитаны риски.
Алгоритм оценки рисков по угрозе информационной безопасности состоит из
следующих этапов:
1. На первом этапе рассчитываем уровень угрозы по уязвимости Th на основе
критичности и вероятности реализации угрозы через данную уязвимость. Уровень
угрозы показывает, насколько критичным является воздействие данной угрозы на ресурс
с учетом вероятности ее реализации.
22
где ERc,I,a – критичность реализации угрозы (указывается в %);
P(V)c,I,a – вероятность реализации угрозы через данную уязвимость (указывается в
%). Вычисляем одно или три значения в зависимости от количества базовых угроз.
Получаем значение уровня угрозы по уязвимости в интервале от 0 до 1.
2. Чтобы рассчитать уровень угрозы по всем уязвимостям CTh, через которые
возможна реализация данной угрозы на ресурсе, просуммируем полученные уровни
угроз через конкретные уязвимости по следующей формуле:
2.1. Для режима с одной базовой угрозой:
2.2. Для режима с тремя базовыми угрозами:
Значения уровня угрозы по всем уязвимостям получим в интервале от 0 до 1.
3. Аналогично рассчитываем общий уровень угроз по ресурсу CThR (учитывая
все угрозы, действующие на ресурс):
3.1. Для режима с одной базовой угрозой:
3.2. Для режима с тремя базовыми угрозами:
Значение общего уровня угрозы получим в интервале от 0 до 1.
4. Риск по ресурсу R рассчитывается следующим образом:
4.1. Для режима с одной базовой угрозой:
R = CThR x D,
где D – критичность ресурса. Задается в деньгах или уровнях.
В случае угрозы доступность (отказ в обслуживании) критичность ресурса в год
вычисляется по следующей формуле:
Для остальных угроз критичность ресурса задается в год.
4.2. Для режима с тремя базовыми угрозами:
1)
2)
3)
;
23
4)
.
Da,c,i – критичность ресурса по трем угрозам. Задается в деньгах или уровнях.
R - суммарный риск по трем угрозам.
Таким образом, получим значение риска по ресурсу в уровнях (заданных
пользователем) или деньгах.
5. Риск по информационной системе CR рассчитывается по формуле:
5.1. Для режима с одной базовой угрозой:
5.1.1. Для режима работы в деньгах:
5.1.2. Для режима работы в уровнях:
5.2. Для режима работы с тремя угрозами:
5.2.1. Для режима работы в деньгах:
CRa,c,I – риск по системе по каждому виду угроз.
CR – риск по системе суммарно по трем видам угроз.
5.2.2. Для режима работы в уровнях:
В заключении можно сказать, что использование предложенного метода при
проведении аудита безопасности можно получит объективную оценку о защищенности
инфокоммуникационных систем.
Информация об авторах
Ф.И.О. – Каримов Мажид Маликович
Место работы и должность – Ташкентский университет информационных технологий,
профессор кафедры «Информационная безопасность»
Телефон, e-mail – [email protected]
Ф.И.О. – Ташев Комил Ахматович
Место работы и должность – Ташкентский университет информационных технологий,
доцент кафедры «Информационная безопасность»
Телефон, e-mail – [email protected]
24
Ф.И.О. – Имамалиев Айбек Турапбаевич
Место работы и должность – Ташкентский университет информационных технологий,
стр. лаборант кафедры «Информационная безопасность»
Телефон, e-mail – +99894 947 07 01, [email protected]
Ф.И.О. – Иброхимов Агзамжон Абдувохидович
Место работы и должность – Ташкентский университет информационных технологий,
студент магистратуры кафедры «Информационная безопасность»
Телефон, e-mail – +99894 689 49 69
МОДЕЛЬ СИСТЕМЫ МОНИТОРИНГА БЕЗОПАСНОСТИ В
ИНФОКОММУНИКАЦИОННЫХ СИСТЕМАХ
К.А.Ташев, Д.Я. Иргашева, А.А.Абдурахманов, А.Т.Имамалиев (Ташкент, ТУИТ)
Mazkur maqolada bugingi kunda dolzarb bo’lgan axborot xavfsizligi muammolari va
axborot kommunikatsion tizimining xavfsizligini monitoring tizimi modeli ko’rib chiqilgan.
В данной статье рассматриваются модель системы мониторинга безопасности
в инфокоммуникационных системах и проблемы информационная безопасность, наиболее
актуальные в настоящее время.
В быстро меняющемся современном мире проблема информационной
безопасности является одной из ключевых составляющих деятельности любого
предприятия. Чем сложнее и разветвленное информационная система, тем труднее решить
эти задачи.
Достаточно часто предприятия, закупив большое количество различных средств
защиты, сталкиваются с целым рядом проблем. Дело в том, что они вынуждены решать
комплексную и достаточно сложную задачу: защищаться от постоянно возрастающего
числа угроз, одновременно с этим разворачивать закупленные средства обеспечения
безопасности и управлять ими.
Самая главная проблема - нехватка квалифицированных специалистов в данной
области и отсутствие у имеющихся ИТ-специалистов необходимых знаний и
практического опыта по организации безопасности в условиях разнородной
информационной среды, так как уже имеющиеся в штате сотрудники чаще всего
перегружены и вынуждены одновременно решать и организационные, и технические
задачи. Содержать штат сотрудников, которые в круглосуточном режиме будут
заниматься мониторингом и отражением атак, может позволить себе далеко не каждая
компания. Поэтому необходим непрерывный и последовательный мониторинг угроз,
связанных с возможным развязыванием информационной войны, с постоянной и трезвой
25
оценкой возможностей противодействия, нейтрализации и предотвращения этих угроз. По
мнению специалистов, мониторинг должен охватывать:
 динамику внешнеполитической ситуации, глобальные и локальные противоречия и
конфликты;
 научно-технический прогресс в области разработки средств и методов
проникновения в информационные ресурсы и воздействия на информационную
инфраструктуру, а также в области защиты информации;
 состояние внутреннего и международного законодательно-правового обеспечения
информационной безопасности;
 состояние и эффективность систем обеспечения информационной безопасности.
Идеальную схему организации мониторинга можно представить в виде
иерархической структуры, высшим звеном которой является надведомственный
полномочный орган, куда от министерств, ведомств и собственных источников поступает
информация о состоянии безопасности объектов и систем. Реализация подобной схемы
мониторинга в настоящее время затруднена, так как обеспечением информационной
безопасности сегодня вынуждены заниматься различные государственные ведомства,
прежде всего силовые министерства. Чтобы такого рода «мозаичный» конгломерат
отдельных ведомственных подсистем функционировал достаточно успешно и
эффективно, должны быть согласованы их усилия и скоординирована их деятельность,
прежде всего, на нормативно-правовом и методическом уровнях.
По мнению специалистов, на любом предприятии возможно построение системы
удаленного мониторинга событий информационной безопасности. То есть специалисты
будут удаленно следить за безопасностью вашего бизнеса и это предприятие получит
следующие преимущества:
1. Мониторинг безопасности сети и как результат своевременное выявление и
пресечение угроз.
2. Разгрузка специалистов от рутинной и трудоемкой работы по мониторингу
событий информационной безопасности, что позволяет им сконцентрироваться на
стратегически более важных для бизнеса задачах.
3. Решение проблемы «кадрового голода», путем разгрузки имеющихся специалистов
и переложения трудозатратных задач на плечи компании-аутсорсера.
4. Снижение финансовых затрат, по сравнению с обычным аутсорсингом, так как
выезды наших специалистов к вам на предприятие после наладки системы будут
скорее исключением, чем правилом.
Снижение рисков реализации угроз и повышения скорости защитной реакции на
атаки за счет своевременного выявления и идентификации угроз.
Если на предприятии есть грамотные в области информационных технологий
специалисты, то необходимо настроить систему мониторинга и обучить персонал работе с
ней. Это экономит огромное количество времени специалистов, что позволяет не
нанимать дополнительный персонал. Имея систему мониторинга информационной
безопасности, можно получит следующие возможности:
1. Мониторинг событий информационной безопасности в режиме.
2. Мониторинг работоспособности устройств и узлов сети.
3. Регистрация и устранение последствий инцидентов безопасности.
4. Предоставление рекомендаций по выявленным инцидентам безопасности.
5. Архивирование данных.
6. Восстановление данных, в случае их порчи.
7. Комплексное управление информационной безопасностью.
8. Автоматизированная инвентаризация оборудования, позволяющая отслеживать
любые его изменения (санкционированные и несанкционированные).
9. Различные виды отчетности, как плановые, так и произвольные.
26
Модель системы мониторинга. В основе аудита информационной безопасности
лежит метод выявления аномалий основанный на профиле. Профиль формируется на
основе
результатов,
полученных
при
проведении
мониторинга
состояния
инфокоммуникационной сети(ИКС). Формально профиль
описывается кортежем:
(1)
где:
– множество информационных единиц, в качестве которых рассматриваются
данные полученные при анализе журналов безопасности пользовательских рабочих
станций;
– множество информационных единиц в качестве которых рассматриваются
данные полученные при анализе log-файлов серверов и доступности сервисов КС
(СУБД, Web-сервера, proxy-сервера, почтовый сервер);
– множество информационных единиц о процессе функционирования служб
безопасности;
– множество описывающее сетевое оборудование, т.е. оборудование
обеспечивающее
функционирование
корпоративной
сетей,
такое
как
маршрутизаторы, коммутаторы, концентраторы, линии связи и пр.;
Предложенная модель системы мониторинга безопасности позволяет контролировать
защищенность инфокоммуникационных систем, на основе чего можно повысить уровень
информационной безопасности в них.
ПАРАМЕТРЛИ АЛГЕБРА НАЗАРИЯСИГА АСОСЛАНГАН ТАСОДИФИЙ
КЕТМА-КЕТЛИКНИ ҲОСИЛ ҚИЛИШ АЛГОРИТМИ
Ташев К.А, Худойқулов З.Т., Имамалиев А.Т. (Тошкент)
В данной статье предложен алгоритм генерации псевдослучайной
последовательности на основе теории параметрической алгебры и проведен анализ
полученных результатов.
Ушбу мақолада тасодифий кетма-кетликларни ҳосил қилишда параметрли
алгерба назариясидан фойдаланиш алгоритми таклиф қилинган ва ишлаб чиқилган
алгоритм бўйича олинган натижалар таҳлил қилинган.
Ушбу алгоритм комбинациялашган генераторлар алгоритмига тегишли бўлиб,
дастлабки калитлар жуфтлиги O`z Dst 1105:2009 шифрлаш стандартида фойдаланилган
сеанс калитини шакллантириш функциясидан фойдаланилди. Ушбу функция байтлар
ўрнини алмаштиришга ва параметрли кўпайтириш, қўшиш, даражага ошириш
амалларидан иборат бўлиб, калит шаклланиш босқичида натижа сифатида иккита 256
ўлчамли массив ҳосил қилинади. Ушбу босқичлар қуйидагича:
1. Кирувчи икки параметр (калит) асосида k ва kf лар шакллантириш.
2. Ушбу икки калит асосида ksе=k+k’*(1+kf*k) ҳисобланди ва чапдан 672 бит
қолдиринсин, бунда k’- kf нинг ўнгдан 192 битли қисми.
3. ksе да ўнгдан 256+64 битли қисм ажратиб олинсин, чапдан 256 битли қисмдан
байтли элементлардан таркиб топган чизиқли массив Kst=[0,1,2,3,… 31], қолган 64 битли
қисмдан – байт сатҳида элементлардан таркиб топган чизиқли массив B= [0,1,2,3,4,5,6,7]
шакллантирилсин.
27
4. Чизиқли массив B элементларидан B1=[0,1,2,3] ва B2=[4,5,6,7] массивлар жуфти
ажратиб олиниб, улардан қуйида келтирилган қоидалар асосида (d1, R1, L1) ва (d2, R2, L2)
параметрлар учликлари шакллантирилсин:
4.1. j=0 учун агар b[j] <3 бўлса, d1=3 қабул қилинсин, акс ҳолда d1= b[0] қабул
қилинсин; а j=4 учун агар b[j] <3 бўлса, d2=3 қабул қилинсин, акс ҳолда d2= b[4] қабул
қилинсин.
4.2. j=1 учун агар, b[j]=0 бўлса, R1=1 қабул қилинсин, акс ҳолда R1= b[1] қабул
қилинсин; j=5 учун агар, b[j]=0 бўлса, R2=1 қабул қилинсин, акс ҳолда R2= b[5] қабул
қилинсин.
4.3. j=2 учун агар b[j]=0 бўлса, L1=1 қабул қилинсин, акс ҳолда
L1= b[2]
қабул қилинсин; j=6 учун агар b[j]=0 бўлса, L2=1 қабул қилинсин, акс ҳолда L2= b[6]
қабул қилинсин.
4.4. ds (mod 2)=0 учун агар ds (mod 4)=0 бўлса, ds= ds -1 қабул қилинсин, акс ҳолда
ds = ds +1 қабул қилинсин, бу ерда s{1,2}.
4.5. ds (mod 2)=1 учун агар, ds -1 (mod 4)=0 бўлса, у ҳолда ds = ds-2 қабул
қилинсин.
4.6. j=3 учун агар b[j] =0 бўлса, b[j] =1 қабул қилинсин; j=7 учун агар b[j] =0
бўлса, b[j] =1 қабул қилинсин.
s{1,2} учун ҳар бир адрес i{0,1,2,…255} га мос ((i+L s) mod256)+1 қийматни ds
даражага параметр Rs билан 257 модули бўйича оширилсин, натижа 256 модули бўйича
тақдим этилсин ва ҳар қадамда жорий натижа бир қадам аввалги натижа ҳамда i билан
таққослансин. Агар таққосланган қийматлар тенг бўлса, ёки жорий натижа бир қадам
аввалги натижага яқин (‫׀‬bsA [i-1]-bsA [i] ‫≥ ׀‬8) бўлса, у ҳолда s=1 учун (i-b[3]) ёки s=2 учун
(i-b[7]) га тенг адресдаги элемент билан жой алмаштирилсин.
Ҳисоблашлар алгоритми қуйидаги амалларни ўз ичига олади:
1. i=0  255 учун bsA[i](((i+L) mod256)+1 )| ds (mod 257)(mod 256) ҳисоблансин.
i=1 дан бошлаб ҳар қадамда i-bsA [i]≠0 ва ‫׀‬bsA [i-1]-bsA [i] ‫≥ ׀‬8 шартлари текширилсин
ва агар иккала шарт қаноалантирилса, унда натижа қабул қилинсин, акс ҳолда bsA [i] s=1
учун (i-b[3]) (mod 256) ёки s=2 учун (i-b[7]) (mod 256)га тенг манзилдаги элемент билан
жойлари алмаштирилсин ва s=1 учун b[3]= b[3]-5 (mod 256) ёки s=2 учун b[7]= b[7]-5
(mod 256) қабул қилинсин.
2. bsA[i, i=0,1,2,…255] элементларидан байт сатҳида алмаштириб шифрматн ҳосил
қилиш, яъни sh режимида фойдаланиш учун чизиқли массивлар жуфтлиги (B1A [256], B2A
[256]) шакллантирилсин.
5. Байт сатҳида, алмаштириб RC4 ва ISAAC+ генераторларига кирувчи параметр
ҳосил қилиш учун, чизиқли массивлар жуфтлиги (B1A [256], B2A [256]) шакллантирилсин.
Ушбу олинган массивлар, байтлар ўрнини алмаштиришга асосланган RC4 ва
ISAAC+ калит генераторларига кириш параметри (массиви) сифатида киритилади ва ҳар
бир генератордан олинган чиқиш қийматлари Макларен-Марсальи усули бўйича
алмаштирилади ва натижавий 256 ўлчамли массив ҳосил қилинади.
Яратилган алгоритм ва замонавий калит генератор орқали ҳосил қилинган кетмакетликларни тасодифийликка текширишда олинган натижаси қуйидаги жадвалда
берилган.
Генератор /
Умумий
тестлар
сони
(кетмакетлик
узунлиги)
AES_ ANSI Fips- ISAAC Чизиқ new_
Пара
new_ RC4 new
FIPS X9.17 186
ли
Fips- метрга RC4
ANSI
186 асослан
ган ген
28
18 (1900
бит)
18 (1 млн.
бит)
8
6
7
12
12
8
13
13
13
8
8
3
6
9
10
6
12
13
13
5
АНАЛИЗ РЫНКА СРЕДСТВ ЗАЩИТЫ ОТ КОПИРОВАНИЯ И ВЗЛОМА
ПРОГРАММНЫХ ПРОДУКТОВ
Бабамухамедов Б.А., Шамшиева Б.М., Раджабов М.Х. (Ташкент, ТУИТ)
Ушбу мақолада замонавий дунёда дастурларнинг ахборот хафсизлигини таъминлаш
жараёнида вужудга келадиган муаммолар кўриб чиқилган ҳамда дастурий воситаларни
хавфсизлигини таъминлашини самарали усуллари таклиф этилган.
В данном тезисе были рассмотрены проблемы, возникающие при обеспечении
информационной безопасности программных продуктов. Также были рассмотрены
способы эффективной защиты программных продуктов производителей касательно
данного региона.
Несмотря на все усилия различных организаций в последние годы продолжается
рост компьютерного пиратства. Почти полмира использует нелицензионное программное
обеспечение - таковы результаты исследования данной отрасли ассоциацией BSA
(Business Software Alliance, bsa.org) В среднем доля пиратского программного
обеспечения в глобальном масштабе составляет 47%, то есть почти половина копий
программы оказываются в каком-то смысле украденными у производителя и лишают его
прибыли.
Наиболее распространенная форма пиратства: нелегальная установка программного
обеспечения на несколько персональных компьютеров. Ежегодный экономический ущерб
ИТ индустрии от пиратства по всему миру составляет $59 000 000 000.
Такие внушительные суммы заставляют задуматься о правильном выборе системы
защиты от взлома и копирования программных продуктов. Программный продукт с
хорошо продуманной системой защиты достигает требуемого уровня продаж и
достаточно долго удерживаться на рынке, что в свою очередь увеличивает прибыль для
производителя.
Достаточно трудно дать точную характеристику понятию "защита", поскольку оно
слишком широко трактуется, и подразумевает практически все аспекты информационной
безопасности.
Рассмотрим основные требования, которые можно предъявить к современной
системе защиты:
 Защита должна быть с большим запасом прочности. Учитывать высокий уровень
“пиратов”, способная противостоять их натиску долгое время;
 По возможности не привязываться к аппаратной конфигурации компьютера,
поскольку персональный компьютер не есть вещь в себе, и его отдельные
компоненты могут и должны быть заменяемыми по мере старения;
29
 По возможности не использовать для защиты дорогие дополнительные аппаратные
приспособления, которые только повышают стоимость защиты, а стало быть, и
конечного продукта;
 Должна быть основана на оригинальных принципах защиты от взлома.
Показателем критерия может служить тот факт, что защита еще не взломана, либо
взломана, но всеми возможными способами;
 Не препятствует свободному копированию защищенных данных (должна
запрещать только несанкционированный запуск, то есть копируется
копировщиком, но не исполняется);
 И наконец стоимость защиты для разработчика и покупателя должна соотноситься со
стоимостью программы
Защиту от проникновения и копирования можно организовать разными способами,
учитывая, что для недорогой программы нельзя использовать дорогую защиту. Известно,
что абсолютно надежной защиты не бывает, но выбранная система должна обеспечить
компании-разработчику достаточную фору во времени, пока “пираты” не научатся
вскрывать данный продукт, хотя еще существуют системы защиты, взлом которых до сих
пор не осуществлен в силу сложности вычислений и размытости их защиты.
Также защита может быть эффективной, если она находится в состоянии
постоянного развития. Если разработчики защиты отслеживают хакерские форумы и
делают выводы о дырах собственных систем. Такой подход может существенно продлить
жизнь системы защиты.
При выпуске программного продукта (игрового или корпоративного) может
случиться так, что сломанная версия появится на рынке даже раньше полноценного релиза
(что зачастую и происходит). Эта судьба касается практически всех программных
продуктов, независимо от того защищены они специальным образом или нет.
Что же получается? Компания производитель лишается своей прибыли. Если
говорить о западных компаниях, то они все равно получают свою прибыль от легального
сектора экономики, и пиратство для них, конечно же ощутимо, но не смертельно. Однако
в нашем регионе, мы получим полное банкротство, так как никто не будет покупать
легальное программное обеспечение, когда рядом лежит тоже самое по цене
несоизмеримо меньше.
Что позволит сделать эффективная защита выпускаемого программного продукта?
Во-первых, устойчивая к взлому защита позволит существенно снизить цены на
собственную продукцию со стороны производителей программного обеспечения, то есть
сделать так, чтобы было бы не выгодно вкладывать деньги во взлом программного
продукта со стороны пиратов. А для пользователей не имело бы смысла искать
сломанную копию программного обеспечения.
Во-вторых, устойчивая защита позволяет производителю программного обеспечения
гарантировать возврат инвестиций. Говоря простым языком, если защита вскрывается за
4-5 месяцев, то компания-производитель может продать достаточное количество копий
своего продукта, чтобы покрыть все расходы на разработку и производство и получить
прибыль. А если новая версия продукта выходит через 7-8 месяцев, то коммерческий
успех можно повторять до бесконечности.
Иными словами недорогая и эффективная защита поможет компаниямразработчикам в возврате вложенных средств. Также интересен такой аспект как
управление продажами, при котором возможен индивидуальный подход к каждому
клиенту.
Ещё одним эффективным методом борьбы с пиратством является экономический
метод. Это когда цена продукта настолько низкая, что может сравниться с ценой
взломанного продукта, продаваемого пиратами. В большинстве случаев, если цена будет
приблизительно одинаковой, покупатель предпочтёт лицензионный продукт, чем
пиратский. Тем не менее, экономическая конкуренция с пиратством дело очень тяжелое и
30
подходит далеко не всем производителям программного обеспечения. Такие
производители (а их большинство) обращаются к методу защиты программного
обеспечения от взлома и нелегального копирования.
Хорошая защита доставляет больше всего хлопот пиратам и, в конечном счёте,
приводит софтверные предприятия к требуемой цели (получению прибыли).
В заключении можно сказать, что с пиратством можно бороться различными
способами. Основным, наверное, всё же должен быть легитимный. То есть взлом и
незаконное распространение программного обеспечения должны быть правильно описаны
в соответствующих законах, и государство должно осуществлять преследование пиратов и
привлекать их к ответственности. Но наше государство пока еще в стадии развития в
данной сфере и еще многое предстоит сделать.
Информация об авторах
Ф.И.О. – Раджабов Музаффар Хамидулла угли
Место работы и должность – Ташкентский университет информационных
технологий, магистр кафедры “Информационная безопасность”
Телефон, e-mail – (+998 90) 174 35 80, [email protected]
ИНФОРМАЦИОН ТИЗИМЛАРДА ХАВФ ЭҲТИМОЛИНИ ТАҲЛИЛИ
З.Ё. Рахимджонов, З.З. Шарипов, Қ.А. Джангазова (Тошкент, ТАТУ)
Ушбу тезисда информацион хавф эхтимолларини келиб чикиш холатлари тахлил
килинган ва хавф эхтимолларини бахолаш масалалари куриб чикилган
Данная работа посвяшена изучении проблемы вероятности информационных
рискои и вопросам оценки информационных рисков
Ахборот технологияларининг юқори суръатда ривожланиши ва барча соҳаларда
кенг қўлланилиши, янгидан-янги имқониятларни яратиш билан бир қаторда, ўзига ҳос
муаммоларни келтириб чиқаради. Бу муаммолардан биттаси ахборот хавфсизлигини
таъминлаш муаммоси хисобланади. Ахборот хавфизлигини таъминлашда хавф
эхтимолларини тахлил қилиш ва баҳолаш асосий масалалардан хисобланади.
Хавф эҳтимолини тўла таҳлил қилишда бир қатор мураккаб муаммоларни хал
қилишга тўғри келади: ресурсларни қадр-қийматини қандай аниқлаш мумкин? Қандай
қилиб ахборот хавфсизлигига таҳдидларни тўла рўйҳатини тузиш ва уларнинг
кўрсаткичларини баҳолаш мумкин? Қандай қилиб самарали қарши тадбирларни танлаш
мумкин? Бу муаммоларни ҳал қилиш учун хавф эҳтимолини таҳлил қилиш жараёни бир
неча босқичлардан иборат бўлади:
 Ахборот ресурсларини идентификациялаш;
 Баҳолаш мезонларини танлаш ва ресурсларга хамда иловаларга потенциал негатив
таъсирларни аниқлаш;
 Таҳдидларни баҳолаш;
31
 Заифликларни баҳолаш;
 Хавф эҳтимолларини баҳолаш;

Мавжуд ва таклиф қилинаётган ахборот хавфсизлигини таъминловчи
воситаларнинг самарадорлигини баҳолаш.
Хавф эҳтимолини таҳлили асосида ахборот хавфсизлигини таъминловчи тартибот
танланади. Бизнес учун салмоқли ва маълум даражадаги заифликка эга бўлган ресурслар,
агар уларга нисбатан бирор бир таҳдид мавжуд бўлса, хавф эҳтимолига дуч келадилар.
Хавф эҳтимолини баҳолашда потенцииал негатив номақбул
ходисалардан келиб
чиқадиган таъсирлар ва кўрилаётган заифлик хамда таҳдидларнинг муҳим ўрин тутиши
кўрсаткичлари ҳисобга олинади.
Хавф эҳтимоли тизим ёки ундан фойдаланаётган ташкилотга дуч келиши мумкин
бўлган хавф-хатарни характерезует ифодалайди. Хавф эҳтимолининг даражаси бир қатор
факторларга боғлиқ, улар:
 Ресурсларнинг қадр-қиймати;
 Тахдидларни амалга ошириш эҳтимоллари;
 Таҳдидни амалга оширишда заифликдан фойдаланишнинг соддалиги;
 Заифликлар сонини камайтирадиган, тахдидларни юзага келиши эҳтимолини
камайтирадиган ва нохуш таъсирлар имкониятини йўққа чиқарадиган АХни
таъминловчи мавжуд ёки тадбиқ қилиниши режалаштирилаётган воситалар.
Ресурсларни қадр-қийматини аниқлаш
Одатда ресурслар бир неча синфларга бўлинади, масалан, жисмоний, дастурий
ресурслар, маълумотлар. Хар бир синф учун, мос келувчи мезонлар тўпламини аниқлаш
элементлар қадр – қийматини аниқлаш учун ёрдам берадиган ўз услубияти зарур. Бу
мезонлар конфеденциалликни, ахборот тизимини яхлитлигини, кира олиш даражасини
бузилиши билан боғлиқ потенциал зиённи ифодалаш учун хизмат қилади.
Жисмоний ресурслар уларни алмаштириш ёки ишлай олиш қобилиятини тиклаш
билан боғлиқ харажатлар нуқтаи назаридан баҳоланади. Бу харажат кўрсаткичлари сўнгра
поғонали (сифат) шкаласига ўтказилиб, шунингдек ахборот ресурслари учун ҳам
қўлланилади.
Дастурий ресурслар худди жисмоний ресурслар каби шу усулда баҳоланади, бу
холда уларни сотиб олиш учун ёки тиклаш учун зарур харажатлар асосида аниқланади.
Агар ахборот ресурсига конфеденциаллик ва ахборот тизимининг яхлитлигига алоҳида
қўшимча талаблар мавжуд бўлса, (масалан, бирламчи матн юқори тижорат қадр –
қийматига эга бўлса) бу холда бу ресурсни баҳолаш келтирилган схема бўйича, яъни нарх
кўрсаткичларида амалга оширилади.
Тижорат ташкилотлари молиявий зарарни ифодаловчи мезонлардан ташқари,
қуйидаги мезонлардан фойдаланишлари мумкин:
 Ташкилот обрўсига етган зарар;
 Амалдаги қонунчиликни бузилиши ортидан келиб чиққан ношушликлар;
 Ходимларни саломатлигига етказилагн зарар;
 Айрим ходимларни шаҳсий маълумотларини очиқланишидан келиб чиққан зарар;
 Ахборотни очиқлашдан келиб чиққан молиявий зарар;
 Ресурсларни тиклаш билан боғлиқ молиявий потери зарар;
 Мажбуриятларни бажариш имконияти йўқотилиши билан боғлиқ потери;
 Фаолиятни издан чиқаришдан келиб чиққан зарар.
Ташкилотнинг профилига боғлиқ равишда бошқа мезонлар хам қўлланиши мумкин.
Масалан давлат органлари учун миллий хавфсизлик ёки халқаро муносабатлар
жиҳатларини ифодаловчи мезонлар бўлиши мумкин.
Хавф эҳтимолини баҳолашга сонли ёки сифат ёндашувдан фойдалинишни танлашда
ташкилот бизнесининг характерига ва ахборотлаштириш савиясига эътибор берилади,
яъни, унга ахборот активларининг муҳимлиги хамда ташкилот етуклиги савияси билан
32
аниқланади. Ахборот хавфсизлигидаги хавф эҳтимолларини бошқаришнинг
самарадорлиги хавф эҳтимолини баҳолашдаги аниқлик ва таҳлилнинг тўлалиги хамда
ташкилотда қўлланилаётган қабул қилинаётган бошқарув ечимларини қабул қилиш ва
уларни ижросини назорат қилиш механизмларига боғлиқ.
33
НОРАВШАН МАНТИҚ НАЗАРИЯСИ АСОСИДА ХАВФ-ХАТАРНИ БАҲОЛАШ
АЛГОРИТМИ
Ғаниев Салим Каримович, Тошкент, Халмуратов Омонбой Утамуратович,Тошкент,
Абрамов Артём Станиславович, Тошкент
Приведено описание метода оценки рисков информационной безопасности
корпоративной системы на основе теории нечеткой логики.
Норавшан мантиқ назарияси асосида корпоратив тизимга бўладиган хавф-хатарни
баҳолаш усулининг тавсифи келтирилган.
Ушбу мақолада хавф-хатарни
баҳолаш алгоритми норавшан мантиқ
ва норавшан тўпламлар назариясига
асосланган.
Маълумки,
ушбу
Кириш йўли ва чиқиш йўли
назарияда
лингвистик
атама
параметрларини қийматларини
ўзгарувчиларидан
ва
“АГАР,
...,
характерловчи лингвистик атамалар
БЎЛСА, ...” қоидалари тўпламидан
тўпламини аниқлаш
фойдаланилади.
Алгоритмда норавшан мантиқ
назариясининг қуйидаги амалларидан
ТД, ЗД1, ЗД2 ларни киритиш
фойдаланилади:
Фазификация – олинган кириш
параметрлари киритилади
йўли ўзгарувчилари баҳоси қийматига
мос тегишлик функция қийматини
Хавф даражасини белгиловчи чиқиш
топиш;
параметрларини топиш
Агрегирлаш
–
ҳар
бир
продукцион қоида бўйича шартлар
хақиқийлиги даражасини аниқлаш;
Аккумуляциялаш – агрегирлашни
Кириш йўли ва чиқиш йўли
ҳисобга олган ҳолда чиқиш йўли
параметрлар боғлиқлигини
параметрининг тегишлик функциясини
тасвирловчи “АГАР, ...., БЎЛСА”
танлаш.
хилидаги қоидалар тўпламини
Ушбу алгоритмда учта кириш
шакиллантириш
йўли
ва
битта
чиқиш
йўли
параметрлари мавжуд. Кириш йўли
параметрлари-таҳдид (ТД), заифлик
(ЗД1), зарар (ЗД2).
ТД - таҳдид
Фазификация
даражасининг (ТД={тдi} , i = 1…M),
миқдорий қиймати [0…1] оралиғида,
сифат қиймати эса лингвистик атама
Агрегирлаш
ўзгарувчиларида ифодаланади. ЗД1 заифлик даражаси (ЗД1={зд1i}, i =
1…N), лингвистик атама ўзгарувчиАккумуляциялаш
ларида ифодаланади. ЗД2 - зарар
даражасининг (ЗД2={зд2i}, i = 1…K)
миқдорий қиймати [0…1] оралиғида,
Дефазификация
сифат қиймати эса лингвистик атама
ўзгарувчи-ларида ифодаланади. Чиқиш
йўли
параметри
хавф-хатар
ҳисобланади.
Хавф-хатарни баҳолаш 34
алгоритмининг умумий кўриниши.
Тақдим
этилаётган
ахборот
К ВОПРОСУ ОБЕСПЕЧЕНИЯ ЦЕЛОСТНОСТИ СТРУКТУРЫ БАЗЫ ДАННЫХ
Иргашева Д.Я., Азимова У.А., Гаипназаров Р.Т. (Ташкент, ТУИТ)
Ушбу ишда маълумотлар структурасини функциялари, фойдаланиш хуқуқини
ташкиллаштириш ва қўллаб-қувватлаш, ҳамда, оператив ва ташқи хотирада уларни
қайта ишлаш масалалари кўриб чиқилган.
В данной работе рассмотрены функции, поддержание и организация доступа
структуры данных и их обработка в оперативной и внешней памяти.
Современные компьютерные информационные технологии, предоставив
новые, немыслимые ранее инфраструктуру и инструментарий жизнедеятельности и
коммуникаций, качественно изменили и обострили проблему безопасности
информации и для этого в данное время требуются теоретическая база,
программно-технические решения и механизмы обеспечения безопасности при
коллективной обработке общих информационных ресурсов. Исходя с этого,
сформировались три составляющих и, соответственно, три, хотя и
взаимосвязанных, но различных направления защиты компьютерной информации обеспечение конфиденциальности информации, обеспечение целостности данных,
обеспечение сохранности и работоспособности данных.
В структуре программного обеспечения инфокоммуникационных систем (ИКС),
размещение и оперирование данными во внешней памяти отвечает операционная система,
соответствующий компонент которой чаще всего называется «файловой системой».
Данные во внешней памяти компьютера представлены именованными совокупностями,
называемыми файлами. С точки зрения смысла и назначения ИКС файлы данных имеют
структуру, отражающую информационно-логическую схему предметной области ИКС.
Эта структура данных в файлах должна обязательно учитываться в операциях обработки
(собственно, в этом и заключается одна из основных функций ИКС). Вместе с тем, в силу
невозможности в большинстве случаев размещения файлов баз данных сразу целиком в
оперативной памяти компьютера, структуру данных в файлах баз данных приходится
учитывать при организации операций обращения к файлам во внешней памяти. Отсюда
вытекает основная особенность системами управления базами данных (СУБД) как вида
программного обеспечения. Будучи по природе прикладным программным обеспечением,
т. е. предназначенным для решения конкретных прикладных задач, СУБД изначально
выполняли и системные функции - расширяли возможности файловых систем системного
программного обеспечения.
В общем плане можно выделить следующие функции, реализуемые СУБД:
• организация и поддержание логической структуры данных (схемы базы данных);
• организация и поддержание физической структуры данных во внешней памяти;
• организация доступа к данным и их обработка в оперативной и внешней памяти.
Организация и поддержание логической структуры данных обеспечивается
средствами модели организации данных. Модель данных определяется способом
организации данных, ограничениями целостности и множеством операций, допустимых
над объектами организации данных. Соответственно модель данных разделяют на три
составляющие - структурную, целостную и манипуляционную.
Модель данных, реализуемая СУБД, является одной из основных компонент,
определяющих функциональные возможности СУБД по отражению в базах данных
информационно-логических схем предметных областей ИКС. Модель организации
35
данных, по сути, определяет внутренний информационный язык системы банка данных,
реализующего автоматизированную информационную систему.
Другой важной функцией СУБД является организация и поддержание физической
структуры данных во внешней памяти. Эта функция включает организацию и
поддержание внутренней структуры файлов базы данных, иногда называемой форматом
файлов базы дачных, а также создание и поддержание специальных структур (индексы,
страницы) для эффективного и упорядоченного доступа к данным. В этом плане эта
функция тесно связана с третьей функцией СУБД — организацией доступа к данным.
Организация и поддержание физической структуры данных во внешней памяти может
производиться как на основе штатных средств файловых систем, так и на уровне
непосредственного управления СУБД устройствами внешней памяти.
Организация доступа к данным и их обработка в оперативной и внешней памяти
осуществляется через реализацию процессов, получивших название транзакций.
Транзакцией называют последовательную совокупность операций, имеющую отдельное
смысловое значение по отношению к текущему состоянию базы данных. Так, например,
транзакция по удалению отдельной записи в базе данных последовательно включает
определение страницы файла данных, содержащей указанную запись, считывание и
пересылку соответствующей страницы в буфер оперативной памяти, собственно удаление
записи в буфере оперативного запоминающего устройство, проверку ограничений
целостности по связям и другим параметрам после удаления и, наконец, «выталкивание» и
фиксацию в файле базы данных нового состояния соответствующей страницы данных.
Транзакции принято разделять на две разновидности — изменяющие состояние
базы данных (БД) после завершения транзакции и изменяющие состояние БД лишь
временно, с восстановлением исходного состояния данных после завершения транзакции.
Совокупность функций СУБД по организации и управлению транзакциями называют
монитором транзакций. Транзакции в теории и практике СУБД по отношению к базе
данных выступают внешними процессами, отождествляемыми с действиями
пользователей банка данных. При этом источником, инициатором транзакций может быть
как один пользователь, так и несколько пользователей сразу. По этому критерию СУБД
классифицируются на однопользовательские и многопользовательские СУБД.
Соответственно в многопользовательских СУБД главной функцией монитора транзакций
является обеспечение эффективного совместного выполнения транзакций над общими
данными сразу от нескольких пользователей.
Функции монитора транзакции, как уже отмечалось, заключаются в организации
совместного выполнения транзакций от нескольких пользователей над общими данными.
При этом дополнительной функцией, неразрывно связанной, в том числе и с основной
функцией, является обеспечение целостности данных и ограничений над данными,
определяемыми правилами предметной области АИС.
Интерфейс выдачи СУБД получает от процессора запросов результаты исполнения
запросов (обращений к базе данных) и переводит эти результаты в форму, удобную для
восприятия и выдачи пользователю-абоненту информационной системы. Для
отображения результатов исполнения запросов в современных СУБД используются
различные приемы, позволяющие «визуализировать» данные в привычной и интуитивно
понятной неподготовленному пользователю форме. Обычно для этого применяются
табличные способы представления структурированных данных, а также специальные
формы выдачи данных, представляющие также, как и формы ввода, электронные аналоги
различных стандартизованных бланков и отчетов в делопроизводстве.
В заключение следует также добавить, что современные программные средства,
реализующие те или иные СУБД, представляют собой совокупность инструментальной
среды создания и использования баз данных в рамках определенной модели данных и
языка СУБД. На основе программных средств СУБД проектировщики строят в целях
реализации конкретной информационной системы автоматизированный банк данных,
36
функционирование которого в дальнейшем поддерживают администраторы системы и
услугами которого пользуются абоненты системы.
AXBOROTNI HIMOYALASH TIZIMIDA TASVIRLARNI TANIB OLISHNING
KATAKDAGI PIKSELLARNI IFODALASH ALGORITMINI QO’LLASH
Islomov Shaxboz Zokir o’g’li (TATU, AX kafedrasi, 2-kurs magistranti)
Ushbu ishda tasvirlarni tanib olishning katakdagi piksellarni ifodalash usuliga
bag’ishlangan. Bunda xar bir pikselning rangi va o’lchamlari bazada yoziladi.
В данной работе посвящена распознования лиц по методу сканирование пикселей
ячейки. В этой записывается на базу светы и размеры каждой пиксели.
Axborot texnologiyalarni rivojlanishi har bir mamlakat uchun ish unumdorligini
oshishi, sifati va eng asosiysi ish samaradorligi yuqori darajada bo’lishini ta’minlab beradi.
O'zbekiston Respublikasi mustaqillik yillari axborotlashtirish sohasida inqilobiy o'zgarishlar
davrini boshdan kechirmoqda. Zamonaviy axborot-kommunikatsiya texnologiyalari qulayliklar
yaratish bilan bir qatorda yangi muammolarni ham o'rtaga qo'ymoqda. Bundan kelib chiqib
ushbu maqolada kompyuter tizimlari rivojlanayotgan bir vaqtda tarmoqdan foydalanishda xar
bir foydalanuvchini shaxsini aniqlash va unga ma’lum huquqlar berish masalalariga
bag’ishlangan.Videokuzatuv vositlari orqali tasvirlarni tanib olishning onlayn va oflayn
usullaridan foydalanib foydalanuvchilarni legalligini aniqlash eng samarali usul hisoblanadi.
Ushbu dastur tasvirlar(yuz, ko’z, burun va lab) o’lchamlarini ma’lumotlar omborida saqlab
keyingisi bilan taqqoslaydi va mos kelsa ushbu shaxs legal hisoblanadi. Bu dastur boshqa shu
turdagi dasturlardan ishonchliligi bilan ajralib turadi va yuqorida ko’rsatilgan muammolarni
yechishga yordam beradi.
Yuzni kalit nuqtalarini tanib olish quyidagi algoritm asosida amalga oshiriladi:
- Qo’llaniladigan rasm uchun tekshiruv oynasi tanlanadi va tegishli belgilar olinadi;
- Shuningdek, tekshiruv oynasi rasm bo’ylab bir katakka siljish bilan ketma-ket
boshlanadi(bizda oynada 24x24 katak bor). Tekshiriluvchi rasmda belgilarni
200 000variantda ifodalash mumkin;
- Xar xil o’lchamlarni tekshirish ketma-ket qo’llaniladi;
- O’lchamini soddalashtirish rasm uchun emas, u faqat oyna uchun(katak o’lchami
o’zgaradi);
- Xamma topilgan belgilar klassifikartorga beriladi.
Xamma belgilarni topish va aniqlash uchun oddiy kompyuter shart emas. Shuningdek,
sinflashtirish qurilmasi faqat aniqlangan belgilarnigina o’zini aniqlaydi.
37
1-rasm.Katakdagi piksellarni ifodalash.
Ushbu yuqorida berilgan algoritm ikki va uch o’lchamli tasvirlash uchun juda qulay
hisoblanadi. Chunki tasvir vaziyati o’zgargan taqdirda xam piksel(nuta) o’lchami o’zgarmaydi.
AXBOROTNI HIMOYALASH TIZIMIDA TASVIRLARNI TANIB OLISHNING
ONLAYN VA OFLAYN USULLARIDA NEYRON TARMOQLARNI QO’LLASH
Islomov Shaxboz Zokir o’g’li (TATU, AX kafedrasi, 2-kurs magistranti)
Ushbu ishda tasvirlarni onlayn va oflayn tanib olishda neyron tarmoqlar qo’llanilgan.
Shuningdek, ko’pqatlamli neyron tarmoqlar ifodalangan.
В данной работе применен нейросети распознования онлайн и оффлайн
изображений. Также употреблено многослойные нейросети.
Zamonaviy axborot texnologiyalar asriga kirib brogan sari – axborotlarni, axborot
qurilmalarini, shuningdek, axborot bilan bog’liq barcha vositalarni himoyalash zaruriyati
tug’iladi. Buning uchun axborot xavfsizligini ta’minlashning yo’llaridan biri – tizimga kirishchiqishni nazorat qilishdir. Buning uchun videokuzatuv vositalaridan foydalanish xam katta
yordam beradi.
Ushbu videokuzatuv ikki xil usulda amalga oshiriladi.
1. Onlayn
2. Oflayn
Onlayn videokuzatuvda bir vaqtning o’zida registrga ma’lumot jo’natadi va bazadagi
tasvir bilan taqqoslab “HA” yoki “YO’Q” javobini qaytaradi. Uning avzalligi ortiqcha vaqt va
yuklanishni talab qilmaydi. Kamchiligi esa, mavjud tasvirda ayrim o’zgarishlar paydo bo’lgan
bo’lsa, tizimga kirishning imkoni mavjud emas.
Oflayn videokuzatuvda esa, tasvir bazaga yuklanib oldingisi bilan taqqoslanadi. Bu
jarayonda ortiqcha vaqt va yuklanish ko’p talab qilinadi.
Tasvirlarni tanib olish tizimlari xattoki, telekommunikatsiya tarmoqlarida masofadagi
foydalanuvchi subyektni identifikatsiyalash uchun xam keng ishlatiladi. Tasvirlarni skanerlash
texnologiyasi boshqa biometrik texnologiyalar(ovoz, barmoq izi, ko’z to’rpardasi, yurak urishi
va boshqalar) yaroqsiz
bo’lgan ilovalar uchun to’g’ri keladi.
Bu holda shaxsni identifikatsiyalash va verifikatsiyalash uchun ko’z, burun va lab
xususiyatlari ishlatiladi. Tasvirlarni tanib olish qurilmalarini ishlab chiqaruvchilar
foydalanuvchini identifikatsiyalashda xususiy matematik algoritmlardan foydalanadilar.
38
Ta’kidlash lozimki, yuz tuzilishini aniqlash texnologiyasi yanada takomillashtirishni
talab etadi. Yuz tuzilishini aniqlovchi aksariyat algoritmlar quyosh yorug’ligi jadalligining
kun bo’yicha tebranishi natijasidagi yorug’lik o’zgarishiga ta’sirchan bo’ladilar. Yuz
holatining o’zgarishi ham aniqlash natijasiga ta’sir etadi. Yuz holatining 90° ga o’zgarishi
aniqlashni samarasiz bo’lishiga olib keladi.
Shunigdek, bu tizimning avzalligi ikki(x, y) va uch o’lchamli(x, y, z) tasvirlarlarni
hisoblash metodlaridan foydalanilgan. Bu esa shaxsning asl o’zi videokuzatuv vositasining
oldiga kelmasa ishlamaydi. Tizim tezligini oshirish maqsadida Neyron tarmoqlardan keng
qo’llaniladi. Neyron tarmoqli usuli tasvirni aniqlashda foydalanilib, bir necha neyron
tarmoqlarini qo’llashga asoslanadi. Rasm va tasvirlarni aniqlash uchun neyron tarmoqlarning
asosiy yo’nalishlari quyidagilar:

Berilgan tasvir belgilarini yoki kalitli ko’rsatkichlarini ajratish uchun qo’llash;

Ko’rsatkichlaridan ajratilgan yoki o’zining nusxalarini klassifikatsiyalash(birinchi
navbatda ajratilgan kalit so’zlarning maxfiy ichki tarmoqqa kiritilishi);

Masalani eng qulayini tanlash.
Tasvirlar bilan ishlashda asosiy kamchilik sifatida yorug’likning va oldingi vaziyatga
nisbatan ayrim qismlarning(kalit xarakteristikalar) o’zgarishini keltirishimiz mumkin. Bir
qatlamliga nisbatan ko’p qatlamli neyron tarmoqlar yuqoridagi kamchiliklarni xam bartaraf
etgan.Yuzning asosiy belgilari – burun, lab,va ko’z orasidagi masofa qanday xolatda bo’lishidan
qat’iy nazar saqlanadi. Ulardan biri o’zgarganda xam natija o’zgarmasligi mumkin.
Solishtirilishi kerak bo’lgan rasm ombordagi rasm bilan ma’lum burchakka yoki
o’lchami o’zgargan bo’lishi mumkin. Bu kamchilikni ketma-ket qatlamlardan foydalanib
bartaraf etish mumkin.Rasmdagi ajratilgan belgilarni xammasini bir xil o’lchamga
kichiklashtirib qatlamlar bo’yicha solishtirib chiqadi.Bu usul 98%gacha kamchiliklarni bartaraf
etishi mumkin.
Ko’pqatlamli neyron tarmoqlari yuqorida belgilangan sinf asosida belgilarni aniqlashi
va qo’llanilishi mumkin. Shuningdek, xar bir berilgan nusxa o’zining sinfiga tegishli belgilarni
aniqlaydiva natijada xamma sinflardan olingan natijalar birlashtiriladi.Kiruvchi tasvirni aniq
belgilab olish uchun neyron tarmoqli detektor ishlatilmoqda. U 20x20 piksel o’lchamli kiruvchi
rasmni beradi va solishtirilishi kerak bo’lgan rasm xam xuddi shu o’lchamda bo’lib, mos sinfdagi
belgilari taqqoslanadi.
Xolfildning neyron tarmog’i bir qatlamli bo’lib to’liq aloqadorlik ya’ni, kiruvchi rasm
bilan chiquvchi rasmning to’liq aloqasini ta’minlb beradi.Yuqori tartibli neyron tarmoqlarga
nisbatan afzaldir.Chunki xamma ko’rsatkichlar chiquvchi natija bilan bog’liq.Shuningdek,
Xolfild tarmoqlar masalalarni qulay xal qilishda qo’llaniladi.Bu tarmoqlar assinxron vasinxron
ko’rinishda amalga oshiriladi.Sinxron ko’rinishda bir vaqtda xamma neyronlarni hisoblaydi,
asinxronda esa, tanlangan neyronlarni hisoblaydi
Neyron tarmoqlar bir-biri bilan birgalikda ishlashi va natijani umumiy “Xulosa”
ko’rinishida berishi mumkin. Masalan: tasvirni bir qismini bir algoritm va boshqa qismini yana
bir algoritm bajaradi, natija umumlashtirilib yagona xulosaga erishiladi. Neyron tarmoqlar
qatlamlar bir-biri bilan ketma-ket bog’lanadi. Ya’ni, birinchi qatlam chiqishida keyingi qatlam va
shu kabi davom etadi. Birin ketin qatlamlarni amalga oshirishda paydo bo’lgan xatolarni umumiy
yig’indisi ko’rinishda olsak, birini xatosini ikkinchisi to’ldirib ketadi va umumiy xatolar soni
nisbatan kamayadi(1-rasm).
39
1-rasm. Ko’pqatlamli neyron tarmoq
Yuqorida sanab o’tilgan tasvirlarni tanib olishning neyron tarmoqlardan foydalangan
xolda onlayn va oflayn usulda amalga oshirilishi juda ko’p jihatdan samara beradi.
СРАВНИТЕЛЬНЫЙ АНАЛИЗ ПРОГРАММНЫХ СРЕДСТВ СИСТЕМ ЗАЩИТЫ
ИНФОРМАЦИИ
Гуломов Шерзод Ражабоевич (Ташкент, ассистент Ташкентский университет
информационных технологий)
Назиров Аваз Абдумажидович (Ташкент, ассистент Ташкентский университет
информационных технологий)
Кусаев Азиз Мухтарович (Ташкент, магистрант Ташкентский университет
информационных технологий)
Данная статья посвящена анализу программных средств оценки эффективности
безопасности на основе критериев оценки модели системы защиты информации.
Бу мақола ахборот ҳимояси тизими моделини баҳолаш мезонлари асосида
дастурий воситаларни хавфсизлиги самарадорлигини баҳолашдаги таҳлилига
бағишланган.
В современных условиях развития информационных технологий при создании
информационных систем (ИС) для коммерческих или государственных организаций,
обязательно создается система защиты информации (СЗИ). На этапе проектирования ИС
возникает вопрос эффективности СЗИ, созданной по тому или иному проекту. Решение
задачи формального сравнения нескольких проектов СЗИ для выбора наилучшего
вызывает определенные сложности.
Анализ моделей СЗИ проводился по следующим показателям:
40
возможность рассчитать вероятность реализации угрозы в зависимости от
используемых средств защиты, и уязвимостей в них;
 возможность рассчитать время реализации угрозы в зависимости от используемых
средств защиты, уязвимостей в них;
 возможность моделирования параллельных процессов преодоления СЗИ;
 возможность моделирования скоординированных действий группы злоумышленников;
Для наглядности результаты сравнительного анализа были помещены в таблицу .
Результаты сравнительного анализа программных средств оценки эффективности
системы безопасности.

Критерии
оценки
Модель
СЗИ
обобщенные
модели
модели, теории
вероятностей
модели, теории
случайных
процессов
модели, теории
сетей Петри
модели, теории
автоматов
модели, теории
графов
модели, теории
нечетких
множеств
модели, теории
катастроф
модели, теории
игр
модели,
энтропийного
подхода
возможность
рассчитать
вероятность
реализации
угрозы
возможность
рассчитать
время
реализации
угрозы
-
-
Таблица
возможность
возможность
моделирования
моделирования
параллельных скоординированных
процессов
действий группы
преодоления
злоумышленников
СЗИ
-
+
-
-
-
+
-
-
+
+
(для
полумарк.)
+
+
+
-
-
-
-
-
-
-
-
+
-
-
-
+
-
-
-
-
-
-
-
-
-
-
-
« + » возможность реализации данной характеристики;
« – » невозможность реализации данной характеристики.
В результате анализа моделей СЗИ можно сказать, что для оценки защищенности
КИС, из рассмотренных моделей, наиболее подходящей с точки зрения характера
получаемых показателей является модель, построенная с использованием вероятностных
сетей Петри
Таким образом, обобщая полученные результаты анализа, выделим следующее:
Для построения модели оценки защищенности КИС были определены структурные
компоненты исследуемой КИС, подлежащие защите, выделены защищаемые ресурсы
41
КИС, проведен анализ модели типичного поведения злоумышленника при взломе КИС,
были сформулированы особенности процесса реализации угроз.
В результате анализа моделей СЗИ можно сказать, что для оценки защищенности
КИС, из рассмотренных моделей наиболее подходящей с точки зрения характера
получаемых показателей является модель, построенная с использованием вероятностных
сетей Петри, так как она позволяет рассчитать вероятность реализации угрозы за заданное
время и поддерживает возможность моделирования параллельных процессов преодоления
СЗИ и моделирования скоординированных действий группы злоумышленников.
К ВОПРОСУ ОБЕСПЕЧЕНИЯ БЕЗОПАСНОСТИ БЕСПРОВОДНЫХ СЕТЕЙ
СПЕЦИАЛЬНЫМИ СРЕДСТВАМИ
Лысенко Т.Г. (Ташкент, ТУИТ)
Mazkur maqolada simsiz tarmoqlarni axborot hafsizligini mahsus vositalari ko'rib
chiqilgan.
В данном тезисе рассматриваются специальные
информационной безопасности беспроводных сетей.
средства
обеспечения
В последнее время увеличивается количество фирм, предприятий и частных
пользователей, которые все больше внимания уделяют использованию Wi-Fi-сетей.
Обусловлено это удобством, мобильностью и относительной дешевизной при связи
отдельных офисов и возможностью их перемещения в пределах действия оборудования.
Однако, безопасности беспроводных сетей стоит уделять особое внимание. Ведь
беспроводная сеть имеет большой радиус действия. Соответственно, злоумышленник
может перехватывать информацию или же атаковать сеть, находясь на безопасном
расстоянии. Учитывая то, что Wi-Fi-сетях применяются сложные алгоритмические
математические модели аутентификации, шифрования данных, контроля целостности их
передачи, можно быть относительно спокойным за сохранность данных при
использовании данной технологии.
Однако данная безопасность относительна, если не уделять должного внимания
настройке беспроводной сети. Если при настройке беспроводной сети не было уделено
достаточно внимания её безопасности, то злоумышленнику могут открыться следующие
возможности:
- получение доступа к локальной сети (файлы, документы и т.д.);
- прослушивание и воровство трафика (интернет);
- искажение информации, проходящей по сети;
- внедрение поддельной точки доступа;
- несанкционированная рассылка сообщений от имени вашей сети.
На сегодня существуют различные технологии защиты Wi-Fi сетей, отличающиеся
своей сложностью и стойкостью:
1) WEP. Протокол WEP позволяет шифровать поток передаваемых данных на
основе алгоритма RC 4 с ключом размером 64 или 128 бит. Данные ключи имеют так
называемую статическую составляющую длиной от 40 до 104 бит и дополнительную
динамическую составляющую размером 24 бита, называемую вектором инициализации
(Initialization Vector, IV). В протоколе есть множество слабых мест, таких как механизмы
обмена ключами и проверки целостности данных, малая разрядность ключа и вектора
42
инициализации (англ. Initialization vector), способ аутентификации, алгоритм шифрования.
Таким образом видно, что данный метод имеет ряд серьёзных недостатков и не является
для взломщиков труднопреодолимым препятствием. Поэтому в 2003 году был
представлен следующий стандарт безопасности — WPA (Wi-Fi Protected Access).
2) WPA - Главной особенностью этого стандарта является технология
динамической генерации ключей шифрования данных, построенная на базе протокола
TKIP (Temporal Key Integrity Protocol), представляющего собой дальнейшее развитие
алгоритма шифрования RC 4. По протоколу TKIP сетевые устройства работают с 48битовым вектором инициализации (в отличие от 24-битового вектора WEP) и реализуют
правила изменения последовательности его битов, что исключает повторное
использование ключей. В протоколе TKIP предусмотрена генерация нового 128-битного
ключа для каждого передаваемого пакета. Кроме того, контрольные криптографические
суммы в WPA рассчитываются по новому методу под названием MIC (Message Integrity
Code). В каждый кадр здесь помещается специальный восьмибайтный код целостности
сообщения, проверка которого позволяет отражать атаки с применением подложных
пакетов. Большим плюсом при внедрении EWPA является возможность работы
технологии на существующем аппаратном обеспечении Wi-Fi.
3) WPA2 определяется стандартом IEEE 802.11i, принятым в июне 2004 года. Он
призван заменить WPA. В нём реализовано CCMP и шифрование AES, за счет чего WPA2
стал более защищённым, чем свой предшественник. С 13 марта 2006 года поддержка
WPA2 является обязательным условием для всех сертифицированных WiFi устройств.Протоколы WPA2 работают в двух режимах аутентификации: персональном
(Personal) и корпоративном (Enterprise). В режиме WPA2-Personal из введенной открытым
текстом парольной фразы генерируется 256-разрядный ключ PSK (PreShared Key). Ключ
PSK совместно с идентификатором SSID (Service Set Identifier) используются для
генерации временных сеансовых ключей PTK (Pairwise Transient Key), для
взаимодействия беспроводных устройств.
4) Фильтрация MAC-адресов - функция поддерживается всеми современными
точками доступа, позволяет повысить уровень безопасности беспроводной сети. Данный
метод не входит в стандарт IEEE 802.11. Фильтрацию можно осуществлять тремя
способами:
- Точка доступа позволяет получить доступ станциям с любым MAC-адресом;
- Точка доступа позволяет получить доступ только станциям, чьи MAC-адреса
находятся в доверительном списке. Для реализации данной функции в настройках
точки доступа создаётся таблица MAC-адресов беспроводных адаптеров
клиентов, авторизованных для работы в данной сети, так называемый «белый
список».
- Точка доступа запрещает доступ станциям, чьи MAC-адреса находятся в “чёрном
списке”;
Наиболее надежным с точки зрения безопасности является второй вариант, хотя он не
рассчитан на подмену MAC-адреса, что легко осуществить злоумышленнику.
5) Режим скрытого идентификатора сети SSID. Это ещё одна мера
предосторожности, которую часто используют в беспроводных сетях. Каждой
беспроводной сети назначается свой уникальный идентификатор (SSID), который
представляет собой название сети. Когда пользователь пытается войти в сеть, то драйвер
беспроводного адаптера прежде всего сканирует эфир на наличие в ней беспроводных
сетей. Для своего обнаружения точка доступа периодически рассылает кадры-маячки
(англ. beacon frames). Каждый такой кадр содержит служебную информацию для
подключения и, в частности, присутствует SSID (идентификатор беспроводной сети). В
случае скрытого SSID это поле пустое, т.е. при использовании режима скрытого
идентификатора (как правило, этот режим называется Hide SSID) сеть не отображается в
списке доступных, и подключиться к ней можно только в том случае, если, во-первых,
43
точно известен её SSID, и, во-вторых, заранее создан профиль подключения к этой сети.
Но все станции в сети, подключенные к точке доступа, знают SSID и при подключении,
когда рассылают Probe Request запросы, указывают идентификаторы сетей, имеющиеся в
их профилях подключений. Прослушивая рабочий трафик, с легкостью можно получить
значение SSID, необходимое для подключения к желаемой точке доступа.
В свете всего вышеизложенного можно убедиться, что имеющиеся на данный
момент механизмы и технологии защиты позволяют обеспечить безопасность сети, при
использовании Fi-Wi. Естественно если администраторы не будут полагаться только на
элементарные настройки, а озаботятся тонкой настройкой. Конечно, нельзя сказать, что
таким образом сеть превратится в неприступную крепость, но выделив достаточно
серьезные средства на оборудование, время для настройки и конечно для постоянного
контроля – можно обеспечить безопасность с вероятностью примерно до 95 %.
К ВОПРОСУ ОБЕСПЕЧЕНИЯ МЕТОДОВ ВЗЛОМА БЕСПРОВОДНОЙ
СЕТИ
Д.Я. Иргашева, Т.Г. Лысенко (Ташкент, ТУИТ)
Mazkur maqolada hozirgi kunda dolzarb bo'lgan simsiz tarmoqlarni buzish usullari va
motivatsiyasi (turtkilari, pomoemu luchshe motivaciya) ko'rib chiqilgan.
В данном тезисе рассматриваются методы и мотивации взлома беспроводной сети,
наиболее актуальные в настоящее время.
Одной из наиболее актуальных задач на сегодняшний день является защита
информации в беспроводных сетях. Большинство беспроводных сетей обеспечиваются
защитой только ресурсами роутера. Именно он является начальной стадией мероприятий
безопасности, отделяя локальную сеть от глобальной. Одним из наиболее простых
способов защиты беспроводной сети сеть невидимой и поставить пароль. Но при всем при
этом это не может гарантировать полную безопасность при подключении к сети. Однако
можно принять определённые меры, которые сделают для злоумышленников задачу
доступа к данным сложнее.
Для того чтобы эффективно защитить беспроводную сеть, необходимо узнать,
какими способом можно ее взломать.
Разберемся, какие мотивации могут послужить для взлома вашей сети.
1. Бесплатный интернет. Не смотря на то, что сейчас интернет провайдеры
предлагают достаточно недорогие тарифы, доступные практически всем, у
злоумышленника может возникнуть желание иметь в круглосуточном резерве запасной
канал на случай, если вдруг свой интернет будет не доступен.
2. Прослушивание, перехват трафика и последующий взлом аккаунтов почты,
социальных сетей, и прочие противоправные действия. Имея на руках пароль от Wi-Fi
злоумышленник имеет возможность расшифровать весь передаваемый “по воздуху”
трафик, включая сессии аутентификации на разных сайтах, cookies и тд.
3. Промышленный шпионаж. В настоящее время офисный Wi-Fi, по-быстрому
настроенный некомпетентными администраторами, является для злоумышленника
“открытой дверью” в ЛВС организации. В результате чего можно получить доступ, как к
секретной информации компании, так и к личным данным сотрудников.
44
4. Пентестинг (от англ. penetration testing – тестирование на проникновение).
Пентестеры – это по сути те же хакеры, но действующие по заказу и с согласия владельца
сети. В их задачи входит проверка безопасности сети и устойчивости к проникновению
извне (или нарушению ее работы изнутри). Среди владельцев крупного и среднего
бизнеса, озадаченных безопасностью IT-структур своих предприятий, спрос на подобные
услуги весьма высок.
5. Любопытство. Является довольно распространенным поводом для взлома сети.
Данная причина особенно распространена среди молодого поколения, являясь своего рода
методом самовыражения и давая повод для гордости собой.
Рассмотрим несколько методов взлома беспроводной сети.
MAC Sniffing&Spoofing - атаки подобного рода возможны потому, что при
передаче пакетов, даже при включенном WEP, MAC‑адрес передается по сети в открытом
виде. Как следствие, MAC‑адрес можно перехватить. Далее формируются запросы
взломщика к точке доступа с применением подложного MAC.
WEP Attacks – чистые данные проходят проверку целостности и выдается
контрольная сумма (integrity check value, ICV). В протоколе 802.11 для этого используется
CRC-32. ICV добавляется в конец данных. Генерируется 24-битный вектор инициализации
(IV) и к нему «привязывается» секретный ключ. Полученное значение является исходным
для генерации псевдослучайного числа. Генератор выдает ключевую последовательность.
Данные XOR-ятся с этой ключевой последовательностью. Вектор инициализации
добавляется в конец и все это передается в эфир.
Access Point Spoofing – данный вид атаки подразумевает использование подложной
точки доступа, переманивающей клиентов на себя. Как следствие, пароли и все данные
оказываются у взломщика. Единственное условие успешной реализации данной атаки сигнал точки доступа взломщика должен быть соизмеримо более сильным легальной AP.
Plaintext‑атака. Условие реализации: атакующий знает исходное послание и имеет
копию зашифрованного ответа. Все, что необходимо в данном случае, - ключ. Для его
получения атакующий посылает в сеть некоторую часть данных и получает ответ. На
основе ответа находится 24‑битный вектор инициализации, используемый для
генерирования ключа.
Атака KoreK - в 2004 году была предложена хакером, называющим себя KoreK. Ее
особенность в том, что для атаки не требуются слабые вектора инициализации.
Для взлома необходимо перехватить несколько сотен тысяч кадров. При анализе
используются только векторы инициализации.
Атака Тевса-Вайнмана-Пышкина - была предложена в 2007 году Эриком Тевсом
(Erik Tews), Ральфом-Филипом Вайнманом (Ralf-Philipp Weinmann) и Андреем
Пышкиным. Использует возможность инъекции ARPзапросов в беспроводную сеть. На
данный момент это наиболее эффективная атака, для взлома требуется всего несколько
десятков тысяч кадров. При анализе используются кадры целиком.
Атака Fluhrer‑Mantin‑Shamir. Сотрудники Cisco Scott Fluhrer, Itsik Mantin и Adi
Shamir из научного института Израиля обнаружили критическую уязвимость в алгоритме
Key Scheduling Algorithm (KSA), который стоит в основе RC4. С ее помощью можно
получить 24‑битный ключ WEP и даже 128‑битный ключ WEP 2. Результат работы
исследователей - две программы: Air snort и WEPCrack, в определенных кругах
пользующиеся особой популярностью. Для проведения атаки нужно как минимум
полмиллиона пакетов. После обновления протокола эта атака неуспешна.
Атаки отказа в обслуживании (DDoS атаки) - цель любой атаки отказа в
обслуживании состоит в том, чтобы ограничить доступ легального пользователя к
ресурсам сети, что обеспечивается посылкой огромного количества некорректно
сформированных пакетов, затопляющих легальный трафик и приводящих к зависанию
и/или последующей перезагрузке системы.
45
Low Hanging Fruit - этот вид атаки рассчитан на добычу незащищенных ресурсов из
незащищенных сетей. Большинство беспроводных сетей абсолютно незащищены, в них не
требуется авторизации и даже не используют WEP, так что человек с беспроводной
сетевой карточкой и сканером может легко подключиться к Access Point-у и использовать
все предоставляемые им ресурсы. Отсюда и название – низко висящие фрукты, которые
сорвать не составляет никакого труда.
Высокие темпы развития беспроводных технологий в нашей стране делают
проблему поисков методов и средств защиты от несанкционированного доступа в сеть
достаточно актуальной, как для крупных фирм и корпораций, использующих в своих
офисах беспроводные сети, так и для домашних пользователей, желающих обеспечить
сохранность своих информационных ресурсов. На сегодняшний день доступ в интернет
посредством беспроводных технологий предоставляют такие интернет провайдеры как
TPS, EVO, SOHO и др. В связи с этим можно сказать, увеличивается число атак на
беспроводные сети, что влечет за собой необходимость принятия дополнительных мер по
обеспечению безопасности.
Информация об авторах
Ф.И.О. – Лысенко Татьяна Геннадьевна
Место работы и должность – Ташкентский университет информационных технологий,
магистр кафедры “Информационная безопасность”
Телефон, e-mail – +99890 9588838, [email protected]
ПОВЫШЕНИЕ ДОСТОВЕРНОСТИ РЕЗУЛЬТАТОВ ПРОВЕДЕНИЯ АУДИТА
ИНФОРМАЦИОННОЙ БЕЗОПАСНОСТИ
Раджабов М.Х. (магистр ТУИТ)
Ушбу мақолада ахборот хавфсизлигини таъминлаш буйича корхоналарда
текширувлар систематик равишда ташкил этилиши кераклиги хақида маълумот
келтирилган, хамда натижадаги маълумотни ишончлигини ошириш йўллари кўриб
чиқилди.
В данном тезисе были проанализированы проблемы, возникающие при аудите
информационной безопасности, пути их решения. А также предложена методика по
улучшению достоверности проведенного аудита информационной безопасности.
В настоящее время аудит информационной безопасности является одним из
преобладающих и активно развивающихся направлений менеджмента компании в области
информационной безопасности. Его основная задача – получение независимой оценки
состояния информационной безопасности (ИБ) компании. На основе результатов
квалифицированно выполненного аудита ИБ компания может разработать и внедрить
наиболее соответствующую целям и задачам эффективную по затратам корпоративную
систему обеспечения информационной безопасности (СОИБ).
Аудит информационной безопасности, выполненный специалистами, обладающими
необходимой компетенцией как в области защиты информации и ИТ-технологий, так и в
46
сфере деятельности компании, позволяет получить более полные результаты от вложения
средств в создание, обновление и поддержание в рабочем состоянии СОИБ.
Проведение комплексного аудита информационной безопасности помогает
образованию единого взгляда на проблемы информационной безопасности компании как
среди специалистов по ИТ-технологиям, ИБ, риск-менеджмента, так и в руководстве
компании. В этой связи тема аудита информационной безопасности и повышение его
достоверности является актуальной.
Проведенный анализ и исследование распространенных практических приемов при
проведении аудитов информационной безопасности корпоративных систем позволил
сделать следующие основные выводы:
В качестве критериев оценки защищенности корпоративной системы используются
или оценка и анализ рисков, или требования стандартов, при этом используемые
инструментальные средства принимают во внимание не всех возможных нарушителей
информационной безопасности и производят оценку на данный момент времени.
Достоверность результатов аудита ИБ целиком и полностью зависят от аудитора и
не существует четких методик по улучшению достоверности по тем или иным критериям.
Вопрос достоверности результата аудита информационной безопасности стоит
достаточно остро. Один из методов повышения достоверности результата аудита
информационной безопасности является внедрение инсайдера. В рамках данного метода
могут быть рассмотрены варианты внедрения инсайдера, их плюсы и минусы, а также
правовые аспекты указанной деятельности.
Таким образом, в результате можно сформулировать возможные направления
развития методик проведения аудита информационной безопасности, а предложенный
метод повышения достоверности полученной при аудите информации позволяет с одной
стороны увидеть реальную картину, происходящую на предприятии, а с другой стороны
наблюдение и оценка проводится в течение некоторого промежутка времени, что также
позволяет улучшить достоверность получаемых данных.
Информация об авторах
Ф.И.О. – Раджабов Музаффар Хамидулла угли
Место работы и должность – Ташкентский университет информационных
технологий, студент магистратуры кафедры “Информационная безопасность”
Телефон, e-mail – (+998 90) 174 35 80, [email protected]
АНАЛИЗ РЫНКА СРЕДСТВ ЗАЩИТЫ ОТ КОПИРОВАНИЯ И ВЗЛОМА
ПРОГРАММНЫХ ПРОДУКТОВ
Бабамухамедов Б.А., Шамшиева Б.М., Раджабов М.Х. (Ташкент, ТУИТ)
Ушбу мақолада замонавий дунёда дастурларнинг ахборот хафсизлигини таъминлаш
жараёнида вужудга келадиган муаммолар кўриб чиқилган ҳамда дастурий воситаларни
хавфсизлигини таъминлашини самарали усуллари таклиф этилган.
В данном тезисе были рассмотрены проблемы, возникающие при обеспечении
информационной безопасности программных продуктов. Также были рассмотрены
47
способы эффективной защиты программных продуктов производителей касательно
данного региона.
Несмотря на все усилия различных организаций в последние годы продолжается
рост компьютерного пиратства. Почти полмира использует нелицензионное программное
обеспечение - таковы результаты исследования данной отрасли ассоциацией BSA
(Business Software Alliance, bsa.org) В среднем доля пиратского программного
обеспечения в глобальном масштабе составляет 47%, то есть почти половина копий
программы оказываются в каком-то смысле украденными у производителя и лишают его
прибыли.
Наиболее распространенная форма пиратства: нелегальная установка программного
обеспечения на несколько персональных компьютеров. Ежегодный экономический ущерб
ИТ индустрии от пиратства по всему миру составляет $59 000 000 000.
Такие внушительные суммы заставляют задуматься о правильном выборе системы
защиты от взлома и копирования программных продуктов. Программный продукт с
хорошо продуманной системой защиты достигает требуемого уровня продаж и
достаточно долго удерживаться на рынке, что в свою очередь увеличивает прибыль для
производителя.
Достаточно трудно дать точную характеристику понятию "защита", поскольку оно
слишком широко трактуется, и подразумевает практически все аспекты информационной
безопасности.
Рассмотрим основные требования, которые можно предъявить к современной
системе защиты:
 Защита должна быть с большим запасом прочности. Учитывать высокий уровень
“пиратов”, способная противостоять их натиску долгое время;
 По возможности не привязываться к аппаратной конфигурации компьютера,
поскольку персональный компьютер не есть вещь в себе, и его отдельные
компоненты могут и должны быть заменяемыми по мере старения;
 По возможности не использовать для защиты дорогие дополнительные аппаратные
приспособления, которые только повышают стоимость защиты, а стало быть, и
конечного продукта;
 Должна быть основана на оригинальных принципах защиты от взлома.
Показателем критерия может служить тот факт, что защита еще не взломана, либо
взломана, но всеми возможными способами;
 Не препятствует свободному копированию защищенных данных (должна
запрещать только несанкционированный запуск, то есть копируется
копировщиком, но не исполняется);
 И наконец стоимость защиты для разработчика и покупателя должна соотноситься со
стоимостью программы
Защиту от проникновения и копирования можно организовать разными способами,
учитывая, что для недорогой программы нельзя использовать дорогую защиту. Известно,
что абсолютно надежной защиты не бывает, но выбранная система должна обеспечить
компании-разработчику достаточную фору во времени, пока “пираты” не научатся
вскрывать данный продукт, хотя еще существуют системы защиты, взлом которых до сих
пор не осуществлен в силу сложности вычислений и размытости их защиты.
Также защита может быть эффективной, если она находится в состоянии
постоянного развития. Если разработчики защиты отслеживают хакерские форумы и
делают выводы о дырах собственных систем. Такой подход может существенно продлить
жизнь системы защиты.
При выпуске программного продукта (игрового или корпоративного) может
случиться так, что сломанная версия появится на рынке даже раньше полноценного релиза
(что зачастую и происходит). Эта судьба касается практически всех программных
продуктов, независимо от того защищены они специальным образом или нет.
48
Что же получается? Компания производитель лишается своей прибыли. Если
говорить о западных компаниях, то они все равно получают свою прибыль от легального
сектора экономики, и пиратство для них, конечно же ощутимо, но не смертельно. Однако
в нашем регионе, мы получим полное банкротство, так как никто не будет покупать
легальное программное обеспечение, когда рядом лежит тоже самое по цене
несоизмеримо меньше.
Что позволит сделать эффективная защита выпускаемого программного продукта?
Во-первых, устойчивая к взлому защита позволит существенно снизить цены на
собственную продукцию со стороны производителей программного обеспечения, то есть
сделать так, чтобы было бы не выгодно вкладывать деньги во взлом программного
продукта со стороны пиратов. А для пользователей не имело бы смысла искать
сломанную копию программного обеспечения.
Во-вторых, устойчивая защита позволяет производителю программного обеспечения
гарантировать возврат инвестиций. Говоря простым языком, если защита вскрывается за
4-5 месяцев, то компания-производитель может продать достаточное количество копий
своего продукта, чтобы покрыть все расходы на разработку и производство и получить
прибыль. А если новая версия продукта выходит через 7-8 месяцев, то коммерческий
успех можно повторять до бесконечности.
Иными словами недорогая и эффективная защита поможет компаниямразработчикам в возврате вложенных средств. Также интересен такой аспект как
управление продажами, при котором возможен индивидуальный подход к каждому
клиенту.
Ещё одним эффективным методом борьбы с пиратством является экономический
метод. Это когда цена продукта настолько низкая, что может сравниться с ценой
взломанного продукта, продаваемого пиратами. В большинстве случаев, если цена будет
приблизительно одинаковой, покупатель предпочтёт лицензионный продукт, чем
пиратский. Тем не менее, экономическая конкуренция с пиратством дело очень тяжелое и
подходит далеко не всем производителям программного обеспечения. Такие
производители (а их большинство) обращаются к методу защиты программного
обеспечения от взлома и нелегального копирования.
Хорошая защита доставляет больше всего хлопот пиратам и, в конечном счёте,
приводит софтверные предприятия к требуемой цели (получению прибыли).
В заключении можно сказать, что с пиратством можно бороться различными
способами. Основным, наверное, всё же должен быть легитимный. То есть взлом и
незаконное распространение программного обеспечения должны быть правильно описаны
в соответствующих законах, и государство должно осуществлять преследование пиратов и
привлекать их к ответственности. Но наше государство пока еще в стадии развития в
данной сфере и еще многое предстоит сделать.
Информация об авторах
Ф.И.О. – Раджабов Музаффар Хамидулла угли
Место работы и должность – Ташкентский университет информационных
технологий, студент магистратуры кафедры “Информационная безопасность”
Телефон, e-mail – (+998 90) 174 35 80, [email protected]
49
СМАРТ-КАРТА КАК МНОГОФУНКЦИОНАЛЬНОЕ УСТРОЙСТВО В
СОВРЕМЕННОМ МИРЕ
И. Р. Валиев. Ташкент, ТУИТ (магистр)
Ушбу мақолада замонавий дунёда ахборот хафсизлигини таъминлаш жараёнида
вужудга келадиган муаммолар кўриб чиқилган. Айрим муаммоларни ечими сифатида
таклиф этилган смарт-карталар ишлатилиниши келтирилган.
В данном тезисе были рассмотрены проблемы, возникающие при обеспечении
информационной безопасности в современном мире. В качестве решения некоторых
проблем было предложено использовать смарт-карты.
С началом бурного развития информационных технологий появилось множество
различных стандартов и их реализаций. Десятки стандартов шифрования, сотни устройств
аутентификации, тысячи носителей различной информации, и все это слабо связано
между собой – вы не можете записать ключ шифрования на обычную карту памяти,
потому что его может легко считать злоумышленник или вирус на компьютере; вы не
можете записать необходимый документ на устройство аутентификации (например, на
RFID-метку); вы не можете воспользоваться чужим компьютером для подписи документа
электронно-цифровой подписью, потому что высока вероятность компрометации
закрытого ключа. Это лишь несколько примеров, которые «связывают руки»
пользователям и принуждают использовать несколько устройств, хотя это все можно
достигнуть с помощью одного устройства.
Этим устройством является смарт-карта. Смарт-карты, вообще говоря, — это
пластиковые карты со встроенной микросхемой. История их начинается с 1968 года, когда
была изобретена первая автоматизированная карта, однако впервые использованы они
были лишь в 1983 году для оплаты счетов за телефонные переговоры. Первоначально,
смарт-карты использовались исключительно для хранения информации, но с внедрением
в них микропроцессоров, смарт-карта стала автономным устройством по работе с
информацией. Сегодня смарт-картами пользуется практически каждый человек – эта
технология применяется в SIM-картах и банковских пластиковых картах.
Но у всех смарт-карт такого форм-фактора есть один существенный недостаток – для
работы с ними требуется считыватель смарт-карт. Он представляет собой либо
автономное устройство, либо периферию компьютера, подключаясь к нему посредством
стандартных интерфейсов (COM-порт, LPT-порт, USB).Такого недостатка лишены смарткарты с интерфейсом USB: все современные персональные компьютеры имеют несколько
портов USB. Смарт-карты с интерфейсом USB, как правило, имеют размеры обычной
карты памяти («флешки»), однако предоставляют намного больше возможностей своим
пользователям: это и защищенное хранение необходимой информации, и возможность
авторизации в различных системах (одно- и двухфакторная аутентификация), и
возможность подписи и шифрования документов внутри самого устройства. Помимо
этого, можно разделить доступ к различным приложениям внутри карты или даже
разделить доступ внутри одного приложения (например, система пользовательадминистратор).
Таким образом, повсеместное применение смарт-карт в сфере информационных
технологий позволит уменьшить количество носимых с собой устройств и сосредочит их
всех в одном компактном устройстве.
Информация об авторах
Ф.И.О. – Валиев Ильдар Рафаэльевич
50
Место работы и должность – Ташкентский университет информационных
технологий, студент магистратуры кафедры “Информационная безопасность”
Телефон, e-mail – 347-24-72, [email protected]
К ВОПРОСУ ВОЗДЕЙСТВИЕ УГРОЗ ИНФОРМАЦИОННОЙ БЕЗОПАСНОСТИ В
КОМПЬЮТЕРНЫХ СИСТЕМАХ
Давронова Лола Уктамовна (Ташкент, ТУИТ)
Ушбу ишда ахборот хавфсизлигини таъминлашнинг қоидалари, усуллари ва
механизмларининг асосий тавсифлари келтирилган.
В данной работе приведены основные характеристики принципы, методы и
механизмы обеспечения информационной безопасности.
Современные компьютерные информационные технологии, предоставив новые,
немыслимые ранее инфраструктуру и инструментарий жизнедеятельности и
коммуникаций, качественно изменили и обострили проблему безопасности информации.
Возможности
несанкционированного
доступа
к
информации,
возможности
несанкционированного получения и, как правило, без существенных организационных и
материальных затрат огромных массивов данных, составляющих в ряде случаев
ценнейшие
корпоративные
ресурсы,
возможности
мгновенного
разрушения
информационных ресурсов, хранящихся или использующихся в компьютерной форме,
предопределили перевод задач обеспечения безопасности информации из разряда
вспомогательных, обеспечивающих, в число основных приоритетов и условий.
На основе анализа теоретических и практических аспектов обеспечения
компьютерной безопасности можно выделить ряд общих принципов создания и
эксплуатации защищенных компьютерных систем.
Принцип разумной достаточности. Внедрение в архитектуру, в алгоритмы и
технологии функционирования компьютерных систем (КС) защитных механизмов,
функций и процедур объективно вызывает дополнительные затраты, издержки при
создании и эксплуатации, ограничивает, снижает функциональные возможности КС и
параметры ее эффективности, вызывает неудобства в работе пользователям КС.
Принцип целенаправленности. Заключается в том, что применяемые меры по
устранению, нейтрализации (либо обеспечению снижения потенциального ущерба)
должны быть направлены против перечня угроз, характерных для конкретной КС в
конкретных условиях ее создания и эксплуатации.
Принцип системности. Выбор и реализация защитных механизмов с должны
производиться с учетом системной сути КС, как организационно-технологической
человеко-машинной системы, состоящей из взаимосвязанных, составляющих единое
целое функциональных, программных, технических, организационно-технологических
подсистем.
Принцип комплексности. При разработке системы безопасности КС необходимо
использовать защитные механизмы различной и наиболее целесообразной в конкретных
условиях природы - программно-алгоритмических, процедурно-технологических,
51
нормативно-организационных, и на всех стадиях жизненного цикла - на этапах создания,
эксплуатации и вывода из строя.
Принцип непрерывности. Защитные механизмы КС должны функционировать в
любых ситуациях в т.ч. и внештатных, обеспечивая как конфиденциальность,
целостность, так и сохранность (правомерную доступность).
Принцип управляемости. Подсистема безопасности КС должна строиться как
система управления - объект управления (угрозы безопасности и процедуры
функционирования КС), субъект управления (средства и механизмы защиты), среда
функционирования, обратная связь в цикле управления, целевая функция управления
(снижение риска от угроз безопасности до требуемого (приемлемого) уровня), контроль
эффективности (результативности) функционирования. Принцип сочетания унификации и
оригинальности. С одной стороны с учетом опыта создания и применения АИС, опыта
обеспечения безопасности КС должны применяться максимально проверенные,
стандартизированные и унифицированные архитектурные, программно-алгоритмические,
организационно-технологические решения. С другой стороны, с учетом динамики
развития информационных технологии, диалектики средств нападения и развития должны
разрабатываться и внедряться новые оригинальные архитектурные, программноалгоритмические,
организационно-технологические
решения,
обеспечивающие
безопасность КС в новых условиях угроз, с минимизацией затрат и издержек,
повышением эффективности и параметров функционирования КС, снижением требований
к пользователям.
Организационно-технологический и человеко-машинный характер природы КС
определяют обширный набор методов и механизмов обеспечения информационной
безопасности
В первую очередь можно выделить ряд методов и механизмов, непосредственно
обеспечивающих конфиденциальность, целостность и доступность данных, такие как
разграничение доступа к данным, контроль и управление информационной структурой
данных, контроль и обеспечение ограничений целостности данных, механизмы
криптографического скрытия данных (шифрования), механизмы ЭЦП, обеспечивающие
целостность данных в процессах их передачи и хранения, а также механизмы контроля и
удаления остаточной информации на носителях данных после завершения их обработки и
в освобождаемых областях оперативной памяти.
Также важнейшее значение для обеспечения компьютерной безопасности имеют
методы и механизмы общесистемного характера, которые можно разделить на
общеархитектурные и инфраструктурные с программно-технической структуры
современных КС.
Основополагающими
среди
общеархитектурных
являются
механизмы
идентификации и аутентификации, обеспечивающие исходный и обязательный рубеж
безопасности в КС, методы и механизмы управления памятью, изоляции процессов и
управления транзакциями в клиент-серверных системах.
Не менее важное значение имеют методы и механизмы инфраструктурного
характера, в особенности для обеспечения информационной безопасности в
распределенных КС - контроль и управление программно-технической конфигурацией
КС, управление сеансами работы пользователей, управление доступом пользователей с
рабочих станций КС, управление (контроль) сетевыми соединениями в КС, управление
инфраструктурой сертификатов криптоключей, обеспечивающих механизмы шифрования
данных и электронно-цифровой подписи.
Обязательными для обеспечения информационной безопасности КС, находящими
отражение в стандартах защищенности, имеют методы и механизмы обеспечивающего
характера, среди которых, в первую очередь следует отметить методы протоколирования
и аудита событий, методы и механизмы резервирования и архивирования, журнализации
процессов изменения данных.
52
Следует также отметить важность механизмов профилактики носителей данных их
учета и контроля в организационно технологическом контуре КС. Кроме того, человекомашинный характер природы КС как особого инструментария деятельности
предопределяет существенное значение для обеспечения информационной безопасности
нормативно-организационной регламентации использования КС, процедур обучения,
нормативно-административного побуждения и принуждения пользователей по вопросам
обеспечения безопасности.
АНАЛИЗ РИСКА ПОЛИТИКИ БЕЗОПАСНОСТИ ОРГАНИЗАЦИИ ПРИ РАБОТЕ
В ИНТЕРНЕТ
Ш. Р. Гуломов (Ассистент ТУИТ)
Б. К. Юсупов (Ассистент ТУИТ)
Аннотация. В данной статье приведено методология и анализ рисков организации
на основе матрица профиля риска, которые определяют видимости и уязвимости
информации во время передачи данных в компьютерных сетях.
Актуальность разработки политик безопасности для отечественных компаний и
организаций объясняется необходимостью формирования основ планирования
информационной безопасности и управления ею на современном этапе. В настоящее
время большинством российских компаний определены следующие приоритетные задачи
развития и совершенствования своей деятельности: минимизация рисков бизнеса путем
защиты своих интересов в информационной сфере;
•обеспечение безопасного, доверенного и адекватного управления предприятием;
•планирование и поддержка непрерывности бизнеса;
•повышение качества деятельности по обеспечению информационной
безопасности;
•снижение издержек и повышение эффективности инвестиций в информационную
безопасность;
•повышение уровня доверия к компании со стороны акционеров, потенциальных
инвесторов, деловых партнеров, профессиональных участников рынка ценных бумаг,
уполномоченных государственных органов и других заинтересованных сторон.
В этом разделе приводятся краткие примеры политик. Конечно, возможны и другие
форматы, другая степень детализации. Задача этих примеров - помочь читателю понять
принципы их разработки.
Первый пример - организация, которая решила не ограничивать никоим образом
взаимодействие с Интернетом. Хотя этот курс и чреват многим опасностями в отношении
безопасности, он может оказаться наилучшим выбором для организации, которой
требуется открытость или в которой нет постоянного контроля начальников отделов за
работой подчиненных. В целом таким организациям можно посоветовать выделить
наиболее важные данные и обрабатывать их отдельно. Например, некоторые
университеты и колледжи нуждаются в подобной среде для обучения студентов (но не для
административных систем).
Второй пример - типовая политика. Внутренние и внешние системы разделяются с
помощью брандмауэра. Тем не менее, большинство интернетовских служб все-таки
доступны внутренним пользователям. Как правило в качестве брандмауэра используется
шлюз, присоединенный к двум сетям или хост-бастион. Тем не менее, этот подход также
53
может быть реализован с помощью криптографии для создания виртуальных частных
сетей или туннелей в Интернете.
Третий пример - организация, которой требуется больше безопасности, чем это
могут дать интернетовские сервисы. Единственным сервисом, который нужен
организации, является электронная почта. Компания обычно имеет информационный
сервер в Интернете, но он не соединен с внутренними системами.
Анализ риска. В настоящее время выделение финансовых и человеческих ресурсов
на обеспечение безопасности ограничено, и требуется показать прибыль от вложений в
них. Инвестиции в информационную безопасность могут рассматриваться как инвестиции
для увеличения прибыли путем уменьшения административных затрат на ее поддержание
или для защиты от потери прибыли путем предотвращения потенциальных затрат в случае
негативных коммерческих последствий. В любом случае стоимость средств обеспечения
безопасности должна соответствовать риску и прибыли для той среды, в которой работает
ваша организация.
Говоря простым языком, риск - это ситуация, когда угроза использует уязвимое
место для нанесения вреда вашей системе. Политика безопасности обеспечивает основу
для внедрения средств обеспечения безопасности путем уменьшения числа уязвимых мест
и как следствие уменьшает риск. Для того чтобы разработать эффективную и недорогую
политику безопасности для защиты соединений с Интернетом, нужно выполнить тот или
иной анализ риска для оценки требуемой жесткости политики, который определит
необходимые затраты на средства обеспечения безопасности для выполнения требований
политики. То, насколько жесткой будет политика, зависит от:

Уровня угроз, которым подвергается организация и видимость организации
из внешнего мира

Уязвимости организации к последствиям потенциальных инцидентов с
безопасностью
Отмечено, что здесь не учитывается ценность информации или финансовые
последствия инцидентов с безопасностью. В прошлом такие оценки стоимости
требовались как составная часть формального анализа риска в попытке осуществить
оценку ежегодной прибыли при затратах на безопасность. По мере того, как зависимость
коммерческих организаций от глобальных сетей становилась большей, потери от
инцидентов с безопасностью, которые практически невозможно оценить в деньгах, стали
равными или большими, чем вычисляемые затраты. Время администраторов
информационной безопасности может более эффективно потрачено на обеспечение
гарантий внедрения "достаточно хорошей безопасности", чем на расчет стоимости чеголибо худшего, чем полная безопасность.
Для организаций, деятельность которых регулируется законами, или которые
обрабатывают информацию, от которой зависит жизнь людей, могут оказаться более
приемлемыми формальные методы оценки риска. В Интернете есть ряд источников
информации по этому вопросу. Следующие разделы содержат методологию для быстрой
разработки профиля риска вашей организации.
Таблица 1 Матрица профиля риска
Угрозы
Ни одна из угроз не
считается реальной
Возможность
возникновения угроз
тяжело оценить
Угрозы реальны,
имел место ряд
Рейтинг
1
3
5
Видимость
Очень маленькая
Средняя,
периодические
публикации об
организации
Большая, постоянные
публикации об
Рейтинг
1
Число очков
2
3
6
5
10
54
случаев их
возникновения
Последствия
Рейтинг
Финансовых потерь
1
не будет, возможные
последствия учтены
в бюджете или
предприняты меры
по переносу риска
Будут затронуты
внутренние функции
организации,
превышен бюджет,
потеряны
возможности
получить прибыль
Будут затронуты
внешние функции
организации,
нанесен большой
финансовый ущерб
3
5
Общее
число
очков:
организации
Уязвимость
Рейтинг
Инциденты считаются
1
приемлемыми как
необходимое условие
бизнеса; руководство
организации с
пониманием
относится к этому
Инцидент повлияет на
3
позицию среднего
звена управления,
исчезнет
доброжелательное
отношение начальства
к безопасности
Руководители
5
организации станут
жестче относиться к
безопасности
пострадают
взаимоотношения с
деловыми партнерами
Общее
число
очков:
Число очков
2
6
10
Рейтинг: Значение для угроз умножается на значение для видимости, а значение
для последствий умножается на значение для уязвимости. Затем эти два числа
складываются:
2 - 10: низкий риск
11 - 29: средний риск
30 - 50: высокий риск
Заключение
Число технологий защиты, предлагаемых на рынке, настолько велико, что знать
все, пусть даже поверхностно, не под силу даже самым опытным ИТ-менеджерам. Для
правильного выбора небесполезно иметь представление, какие из них могут вовсе не
понадобиться. ИТ- менеджеры должны стараться заглянуть как можно дальше вперед,
когда речь заходит о внедрении систем, и прежде всего добиваться их корректной работы,
а не тратить время и деньги на исправление ошибок. Корпоративная сеть должна быть
защищена по всему периметру, в целях безопасности произвести сегментирование сети,
принять меры защиты информационных ресурсов, регулярно производить аудит и
мониторинг системы. Чтобы свести к минимуму риск, связанный с халатностью
пользователей, применять персональную аутентификацию. Любой сотрудник может
подключиться к информационным ресурсам корпорации только после персональной
аутентификации.
Литература
1. Барбара Гутман, Роберт Бэгвилл. Политика безопасности при работе в Интернете техническое руководство.
55
2. В. Ф. Шаньгин. Информационная безопасность компьютерных систем и сетей. Москва
ИД «ФОРУМ» - ИНФРА-М 2011
3. Бесплатно скачать Гафнер В.В. “Информационная безопасность” 2010 г.
4. Шаньгин В. Ф. Защита информации в компьютерных системах и сетях. 2012 г.
BARDOSHLI XESH FUNKSIYALARNI ISHLAB CHIQISH MUAMMOSI
Ostonov M. B., TATU magistranti
Ushbu tezisda xesh funksiya tushunchasiga ta’rif keltirilib, uning turlariga tasnif
beriladi. Mavjud kriptobardosh xesh funksiya standartlari keltirilib, ularning xususiyatlari
ko’rib chiqiladi.
Zamonaviy axborot aylanish tizimlarining tez suratda rivojlanayotganligi va inson
hayotiga yanada kirib borishi axborot xavfsizligini ta’minlash, foydalanuvchilarni axborot
hurujlaridan himoyalay oladigan tizimlarni ishlab chiqishni taqozo etadi.
Bugungi kungacha mamlakatimizda axborot xavfsizligini ta’minlashga doir ko’p qonun
va farmoishlar qabul qilingan bo’lib, ular qatorida “Elektron raqamli imzo to’g’risida” gi qonun,
“Elektron hujjat aylanishi to’g’risida”gi qonun, Prezidentimizning “O’zbekiston Respublikasida
axborotni kriptografik muhofaza qilishni tashkil etish chora-tadbirlari to’g’risida”gi PQ-614-son
qarorlari, Vazirlar Mahkamasining “Elektron raqamli imzodan foydalanish sohasida normativ
huquqiy bazani takomillashtirish to’g’risida”gi 215-son qarorlari kabi me’yoriy hujjatlarni misol
keltirishimiz mumkin. Ularning amaliy ijrosi sifatida O’z DSt 1092:2009, O’z DSt 1105:2009,
O’z DSt 1106:2009 kabi milliy standartlarini,
E-KALIT, E-XAT, E-HUJJAT tizimlarini
misol keltirishimiz mumkin. Elektron hujjat almashishini amalga oshirishda axborot
xavfsizligining mukammal bo’lishi talab qilinadi. Buning uchun konfidensiallikni ta’minlashda
asosan shifrlash algoritmlaridan tuzilgan vositalardan, autentifikatsiya jarayonlarini olib borishda
elektron raqamli imzo algoritmlari va ma’lumot butunligini nazorat qilishda xesh funksiyalardan
foydalaniladi.
Xesh funksiya deb, ixtiyoriy uzunlikdagi ma’lumotni biror fiksirlangan uzunlikdagi
qiymatga o’tkazuvchi funksiyaga aytiladi. Xesh funksiyalar ma’lumotlarni uzatish yoki
saqlashda uning to’laligini nazoratida, ma’lumot manbaini autentifikatsiya qilishda, statistik
tajribalarni o’tkazishda, mantiqiy qurilmalarni tekshirishda, tez qidirib topish algoritmlarini
tuzishda va ma’lumotlar bazasidagi ma’lumotlarni to’laligini tekshirishda qo’llaniladi.
Ma’lumotlarni uzatishda yoki saqlashda uning to’laligini nazorat qilish uchun har bir
ma’lumotning xesh qiymati hisoblaniladi va bu qiymat ma’lumot bilan birga saqlaniladi yoki
uzatiladi. Ma’lumotni qabul qilgan foydalanuvchi ma’lumotning xesh qiymatini hisoblaydi va
uning nazorat qiymati bilan solishtiradi. Agar taqqoslashda bu qiymatlar mos kelmasa, ma’lumot
o’zgarganligi haqida xulosa chiqariladi.
Xesh funksiyaga quyidagi talablar qo’yiladi:
1.
Ixtiyoriy uzunlikdagi matnga qo’llab bo’ladi.
2.
Chiqishda tayinlangan uzunlikdagi qiymatni beradi.
3.
Ixtiyoriy berilgan x bo’yicha h(x) oson hisoblanadi, bu yerda h(x) ixtiyoriy
uzunlikdagi x ma’lumotni fiksirlangan uzunlikdagi h(x)=H qiymatga akslantiruvchi bir
tomonlama funksiya.
4.
Ixtiyoriy berilgan H bo’yicha h(x)=H tenglikdan x ni hisoblab topib bo’lmaydi.
5.
Olingan x va y≠x matnlar uchun h(x)≠h(y) bo’ladi, ya’ni kolliziyaga bardoshlilik
xossasi.
56
Agar bir xil xesh qiymatga ega bo’lgan ikkita har xil ma’lumot mavjud bo’lsa, bu
ma’lumotlar jufti kolliziya hosil qiladi deyiladi.
Xesh funksiyalar ikkita muhim turga ajratiladi:
1.
Kalitli xesh funksiyalar.
2.
Kalitsiz xesh funksiyalar.
Kalitli xesh funksiyalar simmetrik kalitli tizimlarda ishlatiladi. Ularga ma’lumotni
autentifikatsiya qilish kodlari (messege authentication code (MAC)) ham deyiladi. Ular birbiriga ishonuvchi foydalanuvchilar tizimida qo’shimcha vositalarsiz manbaning haqiqiyligini,
ma’lumotning to’laligini kafolatlaydi.
Kalitli xesh funksiyalarni qo’llashda ularga quyidagi asosiy talablar qo’yiladi:

fabrikatsiya imkoniyatining mavjud emasligi;

modifikatsiyaning imkoniyati yo’qligi.
O’zbekiston Respublikasi xesh funksiya davlat standarti O’z DSt 1106:2009 da kalitli
xesh funksiya keltirilgan bo’lib, kalit uzunligi 128 yoki 256 bit bo’lishi mumkin. Yevropa
hamjamiyatining RACE dasturi doirasida ishlab chiqilgan RIPE-MAC1 va RIPE-MAC3 xesh
funksiya algoritmlari, Nippon Telephone and Telegraph kompaniyasi tomonidan ishlab chiqilgan
N-xesh funksiya algoritmi, shuningdek CBC-MAC va CRC-MAC xesh funksiyalarini kalitli
xesh funksiya algoritmlariga misol qilib keltirishimiz mumkin.
Kalitsiz xesh funksiyalar xatolarni aniqlash kodlari (modification detection code (MDC))
deb yuritiladi. Kalitsiz xesh funksiyalar qo’shimcha vositalar (shifrlash yoki raqamli imzo)
yordamida ma’lumotning to’laligini kafolatlaydi. Bunday xesh funksiyalar bir-biriga ishonuvchi
hamda bir-biriga ishonmaydigan foydalanuvchilar tizimlarida ishlatiladi.
Odatda kalitsiz xesh funksiyalardan quyidagi xossalarni qanoatlantirishi talab qilinadi:

bir tomonlamalilik;

kolliziyaga bardoshlilik.
Bugungi kunda ko’plab davlat standartlari xesh funksiya algoritmlari kalitsiz xesh
funksiya algoritmlari bo’lib, ularga misol qilib Rossiya federatsiyasining ГОСТ Р 34.11-94 xesh
funksiya davlat standartini, AQSHning federal atandarti FIPS PUB 180 da keltirilgan SHA-0,
FIPS PUB 180-1 da keltirilgan SHA-1, FIPS PUB 180-2 da keltirilgan SHA-256, SHA-384,
SHA-512 xesh funksiyalarini, Belorus xesh funksiya dablat standarti СТБ 1176.1-99ni,
AQSHning federal standarti SHA turidagi xesh funksiyalarni yaratishga asos bo’lgan MD
turidagi xesh funksiyalar va ularning MD2. MD4 va MD5 modifikatsiyalarini, MD5 asosida
ishlab chiqilgan HAVAL xesh funksiyasini va yuqoridagi xesh funksiya algoritmlaridan farq
qiluvchi algoritmga ega bo’lgan TIGER xesh funksiyasini keltirish mumkin.
Bugungi kunda xesh funksiya elektron raqamli imzo algoritmlarini bardoshligini
oshirishda muhim axamiyatga ega. Shunga ko’ra ishlab chiqilayotgan milliy tizimlarda bardoshli
xesh funksiyalardan foydalanish tizimlarning turli hujumlarga dosh berish qobiliyatini oshiradi.
Xulosa qilib aytganda bardoshli xesh funksiyalar ishlab chiqish muammosi ko’plab
mamlakatlarning xesh funksiya standartlaridan qolishmagan holda, O’zbekistonning O’z DSt
1106:2009 standartida ham hal qilingan. Undagi kalitning 128 yoki 256 bit uzunligi, matematik
funksiyalarning ishlatilishi ham yuqori darajada ekanligi bilan ajralib turadi.
ELEKTRON RAQAMLI IMZODAN FOYDALANISHDA XESH
FUNKSIYALARNING O’RNI
Ostonov M. B., Ismanova M. H., TATU magistrantlari
Ushbu tezisda elektron raqamli imzoning jamiyat hayotida olib keladigan qulayliklari, u
yechishi mumkin bo’lgan masalalar va tatbiq qilsh jarayonlari keltirilgan. Shu bilan birgalikda,
57
raqamli imzoni shakllantirish va tekshirish jarayonlarida xesh funksiyaga qo’yiladigan talablar
va xesh funksiyadan foydalanishda kelib chiqadigan yengilliklar sanab o’tilgan.
Bugun zamonaviy axborot-kommunikatsiya texnologiyalarini qo‘llagan holda axborot
almashishning elektron uslubiga o‘tish jarayoni jadallashmoqda. Elektron hujjat almashish
xizmatlariga davlat boshqaruvi, tijorat faoliyati, moliyaviy operatsiyalarni amalga oshirish va
boshqa turli sohalarda talab ortib bormoqda.
2003-2004-yillarda Prezidentimiz Islom Karimov tashabbusi bilan mamlakatimizda
axborot-kommunikatsiya texnologiyalarini rivojlantirishga qaratilgan qator qonun hujjatlari
qabul qilindi. “Elektron raqamli imzo to’g‘risida”gi qonun shulardan biridir. Ushbu hujjatga
binoan elektron raqamli imzo o’z qo’li bilan qo’yilgan imzoga tenglashtirilgan va u bilan bir xil
yuridik kuchga ega. “Elektron hujjat aylanishi to’g‘risida”gi qonun esa elektron raqamli imzo
(ERI) majburiy rekvizitlaridan biri hisoblangan elektron hujjatning yuridik kuchini, “Elektron
tijorat to’g‘risida”gi qonun elektron tijoratni huquqiy tartibga solish jihatlarini belgilaydi.
Hozirgi kunda ERIni qo‘llagan holda, elektron hujjat aylanishini keng joriy etish va qo‘llash
jarayonlarini faollashtirish, eng dolzarb muammolarni aniqlash, ko‘rib chiqish va hal qilish
uchun keng ko’lamdagi chora tadbirlar olib borish muhim ahamiyat kasb etadi.
Elektron raqamli imzo hujjatlardagi qo’yilgan shaxsiy imzolarni soxtalashtirish nisbatan
murakkab bo’lib, shaxsiy imzolarning mualliflarini hozirgi zamonaviy ilg’or kriminalistika
uslublaridan foydalanish orqali aniqlash mumkin. Ammo ERI xususiyatlari bundan farqli bo’lib,
ikkilik sanoq sistemasi xususiyatlari bilan belgilanadigan xotira registrlari bitlariga bog’liq.
ERI axborot kommunikatsiya tarmog’ida elektron hujjat almashinuvi jarayonida quyidagi
uchta masalani yechish imkonini beradi:
 Elektron hujjat manbaining haqiqiyligini aniqlash;
 elektron hujjat yaxlitligini (o’zgarmaganligini) tekshirish;
 elektron hujjatga raqamli imzo qo’ygan sub’ektni mualliflikdan bosh tortmasligini
ta’minlaydi.
ERIning umumiy tan olingan sxemasi (modeli) uchta jarayonni o’z ichiga oladi:
 ERI kalitlarini generatsiyalash;
 ERIni shakllantirish ;
 ERIni tekshirish (haqiqiyligini tasdiqlash).
Ma’lumot almashinishidan oldin ERI kalitlari generatsiya qilingan va o’z egalarida
mavjud bo’lishi kerak. Imzo qo’yish muallif tomonidan, faqat unga ma’lum bo’lgan maxfiy kalit
asosida amalga oshiriladi. Imzoning haqiqiyligini tekshirish esa istalgan shaxs tomonidan, imzo
muallifining ochiq kaliti bilan amalga oshirilishi mumkin.
Raqamli imzo bitlar ketma-ketligida ifodalangan biror sondan iborat. Shuning uchun uni
boshqa elektron hujjatlarga ko’chirish yoki o’zgartirish kiritish katta qiyinchilik tug’dirmaydi.
Shuning uchun elektron hujjat almashinuvi tizimida ERIni qalbakilashtirishning oldini olish
chora-tadbirlari – ERI algoritmining elektron hujjatlarni qalbakilashtirishga bardoshlilik
masalasini yechish talab etiladi. Zamonaviy ERI algoritmlari standartlarining bardoshliligi
diskret logarifmlash, parametrli algebradan foydalanish va elliptik egri chiziq ratsional nuqtalari
ustida amallar bajarish kabi masalalarga asoslangan. Shu bilan birgalikda ERIni shakllantirish va
uni tekshirish jarayonining bardoshli bo’lishi va tezkorligini ta’minlashda xesh funksiyalar
quyidagi xususiyatlarga ega bo’lishi kerak:
 kolliziyaga bardoshlilik, bu ERIni qalbakilashtirishdan himoyalaydi;
 chiqish bitlarining qisqaligi, bu xususiyat ERIni tezkorligini ta’minlaydi;
 uzatiladigan ma’lumotdagi kichik o’zgarish xesh qiymatni keskin o’zgarishiga olib
kelishi, bu xususiyat ma’lumot o’zgarishidan himoyalaydi.
ERI algoritmida xesh funksiya algoritmning bir qismi hisoblanmaydi, shuning uchun
ixtiyoriy ishonchli xesh funksiyalardan foydalanish mumkin. ERIda xesh funksiyalardan
foydalanish quyidagi qulayliklarni keltirib chiqaradi:
58
 Hisoblashlardagi osonlik. Odatda xesh funksiya ma’lumotning kirish hajmini bir
necha barobar qisqargan ko’rinishga olib keladi va xesh funksiyani hisoblash ancha
tezkordir. Shuning uchun ma’lumotni xeshlash va uni imzolash jarayoni faqat
ma’lumotning o’zini imzolash jarayonidan oson va tez hisoblanadi;
 Leksik bir xillik. Imzolanishi kerak bo’lgan ma’lumot qanaqa turda yoki alifboda
bo’lishidan qat’i nazar xesh funksiyadan chiqadigan format imzolovchi vosita formati
bilan mos keladi;
 Butunlik. Xesh funksiyani ishlatmasdan imzolangan elektron ma’lumot katta hajmdan
iborat bo’lganda bir necha qismlardan iborat bo’lishi mumkin va uni tekshirish
jarayonida qismlar ketma-ketligi o’zgarib qoladi. Xesh qiymat imzolanganda imzo
hajmi qisqa va butun saqlanadi.
Yuqoridagi xususiyatlarni o’z ichiga olgan xesh funksiya milliy standartimiz - O’zDSt
1106:2009 asosida Elektron raqamli imzoning standarti – O’zDSt 1092:2009 ishlab chiqilgan
bo’lib, ularning bardoshliligi parametrli algebraga asoslangan. Mazkur muammolar yangi
matematik murakkabliklar hisoblanib ularni hal etish usuli hali taklif etilmagan.
Xulosa o’rnida shuni ta’kidlash kerakki, ERIning xesh funksiyadan foydalanilgan va
foydalanilmagan algoritmlarida butunlik va tezkorlik kabi xususiyatlarida katta farq mavjud.
Xesh funksiya algoritmining qanchalik to’g’ri tanlanishi, ERIning bardoshliligini oshirishga va
axborot xavfsizligini oshirishga xizmat qiladi.
ЭЛЕКТРОН ПОЧТА ТИЗИМЛАРИДА АХБОРОТ ХАВФСИЗЛИГИНИ
ТАЪМИНЛАШ
С.С.Шарипова (ТАТУ магистранти)
Мазкур тезисда электрон почта тизимларидаги ахборот хавфсизлиги масалалари
ва уларни ҳал этиш йўллари ёритилган.
Ахборот-коммуникация тизимларида маълумотлар алмашинувини самарали амалга
оширишни ташкил этиш бугунги ривожланган жамиятда катта аҳамият касб этади.
Ахборот технологияларининг тезлик билан ривожланиб бориши, жамият фаолиятининг
кенг соҳасида турли ахборот хизматларининг вужудга келишига олиб келади. Айниқса,
давлат ва жамият манфаатлари билан боғлиқ муҳим маълумотларни алмашиш ҳамда
таҳлил қилишда тез ва ишончли маълумот алмашинуви талаб этиладиган тизимларда
ахборот муҳофазаси масалалари долзарб ҳисобланади.
Ахборот муҳофазасини таъминлаш учун меъёрий-ҳуқуқий хужжатлар, техник
воситалар ва криптографик алгоритмлар ҳамда протоколлар негизида яратилган дастурий,
аппарат-дастурий ва аппарат-техник воситаларни биргаликда қўллаш билан самарали
амалга оширилади. Шуниниг учун ҳам бугунги кунда жамиятимизнинг барча соҳаларида
ахборот-коммуникация технологияларини кириб бориши ва ривожлантиришга
республикада мос қонунчилик базаси ишлаб чиқилган ва тадбиқ этилмокда.
«Ахборотлаштириш тўғрисида» (2003 йил), «Электрон рақамли имзо тўғрисида»
(2003йил), «Электрон ҳужжат айланиши тўғрисида» (2004 йил), «Электрон тижорат
тўғрисида» (2004 йил), «Электрон
тўловлар тўғрисида» (2004 йил), Ўзбекистон
Республикаси Президентининг 2005 йил
8 июлидаги 117-ПҚ қарори,
Ўзбекистон Республикаси Вазирлар Маҳкамасининг 2005 йил 22 ноябридаги №256сонли
қарори,
Ўзбекистон
Республикаси
Давлат
бошқаруви органлари ва
ҳокимиятининг электрон ҳужжат айланиши қоидаси, Ўзбекистон Республикаси Вазирлар
59
Маҳкамасининг 2010 йил 22 июлдаги “Республикада қоғозни тежаш ва ундан
оқилона фойдаланишга доир чора-тадбирлар тўғрисида”ги
155-сонли қарори ва
Ўзбекистон Республикаси Президентининг
№ ПҚ-1730 «Замонавий ахбороткоммуникация технологияларини янада жорий этиш ва ривожлантириш чора-тадбирлари
тўғрисида»ги қарори шулар жумласидандир. Давлат ҳокимият органлари ва бошқарувда
электрон ҳужжат айлануви қулай стратегияларини ишлаб чиқиш учун кенг
шароитлар яратилган. Ўзбекистон Республикаси Президентининг 2013йил 27 июндаги
№ ПҚ-1989 «Ўзбекистон Республикаси Миллий ахборот коммуникация тизимини янада
ривожлантириш чора тадбирлари тўғрисида»ги қарорини бажариш юзасидан Вазирлар
Махкамасининг 2013 йил 16 сентябрдаги қарори асосида Ўзбекистон Республикаси
Алоқа, ахборотлаштириш ва телекоммуникация технологиялари давлат қўмитаси қошида
«электрон хукумат» тизимини ривожлантириш маркази ташкил этилди. Айни қарор
асосида «электрон хукумат» тизимини ахборот комплекслари, ресурслари ва маълумотлар
базаларининг ахборот хавфсизлигини таъминлаш мақсадида ахборот хавфсизлигини
таъминлаш маркази ҳам тузилган.
Юқоридагиларни инобатга олган ҳолда, хозирда корхона ва ташкилот иш
фаолиятида қоғозли ҳужжат айланувини кескин қисқартириш ҳамда корхоналараро
қоғозсиз электрон хужжат айланувини йўлга қўйиш асосий мақсад қилиб
белгиланган. Шунинг учун мураккаб бошқарувли катта масштабдаги ташкилотлар
тизимларида электрон ҳужжат айлануви ахборот моделини яратиш ва уни амалда
тадбиқ этиш ҳозирги куннинг долзарб масалаларидан бири ҳисобланади. Шунинг учун
ҳам амалдаги мавжуд шундай тизимларни ишлаш принцпларини кўриб чиқиш даркор.
Электрон ҳужжат алмашувининг дастлабки кўринишларидан электрон почта
тизимлари энг биринчи ва кўп тарқалган интернет хизматлари туркумига киради. Дунё
бўйича 200 млн.дан ортиқ почта қутиларидан фойдаланиш нафақат тезкор хат-хабарлар
алмашиш, шунингдек ўзига хос маълумотлар базасидан фойдаланиш имкониятларини ҳам
беради. Дунё миқёсида электрон ҳужжат айланув тизимини яратиш ва
ривожлантириш бўйича бир қатор дастурий маҳсулотлар ишлаб чиқилган: Docs Fusion,
Docs Open, CyberDocs, Documentum, LanDocs, Microsoft SharePoint Portal Server
Optima, Workflow, "БОСС-Референт", "Дело", "Евфрат", "Оптима", DocFlow (NCI
Project), NauDoc (Deter Technologies), Documentum 5.0 (Documentum), Lotus
Domino.doc, Globus Professional, Livelink ECM, Naumen DMS, PayDox ва х.к.
Интернетда асосий почта протоколлари ахборот хавфсизлиги таъминлаш учун
хизмат қилиб, улардан SMTP (Simple Mail Transfer Protocol), POP (Post Office Protocol),
IMAP (Internet Май Access Protocol), MIME (Multipurpose Internet Mail Extensions)
ҳисобланади. Ушбу протокол электрон рақамли имзо ва маълумотларни шифрлаш
воситаларидан иборат бўлиб, бундан ташқари у ёрдамида почта орқали бажарилувчи
файлларни ҳам жўнатиш мумкин. Лекин маълумот жўнатувчидан қабул қилувчига
қандайдир маълумотни оддий усулда жўнатиш кўп ҳолларда турлича муаммоларнинг
келиб чиқишига олиб келади. Бунда жараён қатнашчилари асосан қуйидаги ҳолатларга
дуч келадилар:
- рад этиш – хабар юборган ўзи юборган хабарни рад этиши;
- қалбакилаштириш – қабул қилувчи хабарни ўзгартиради, қалбакилаштиради;
- ўзгартириш – қабул қилувчи хабарни ўзгартиради;
- ниқоблаш – тартиб бузар хабарни бошқа шахсга расмийлаштиради ва ҳ.к.
Ҳозирги кунда республикамизда ҳам миллий электрон почта тизими
E-XAT
ишлаб чиқилган ва кенг жорий этилмоқда. Мазкур тизимнинг хавфсизлиги ахборотнинг
криптографик муҳофазаси бўйича ишлаб чиқилган миллий стандартларга асосланган.
Унда аутентификация масаласи миллий стандарт O’z DSt 1092:2009 "Ахборотнинг
криптографик муҳофазаси. Электрон рақамли имзони шакллантириш ва уни текшириш
жараёнлари" асосида ҳал этилган. O’z DSt 1092:2009да шундай ҳолларда, алоқа
60
тизимларида юқорида санаб ўтилган бузилишларидан муҳофаза қилинишини
таъминланади, яъни:
- махфий калит фақат юборувчининг ўзигагина маълум бўлса, у ҳолда қабул
қилувчи томонидан қабул қилиб олинган маълумот фақат юборувчи томонидан
жўнатилганлигини рад этиб бўлмайди;
- рақиб томон махфий калитни билмаган ҳолда ўзгартириш, қалбакилаштириш,
ниқоблаш ва бошқа шу каби алоқа тизими қоидаларининг бузилишига имконият
туғдирмайди. Ҳужжатни ўзгартиришга уринишда хэш қиймат ўзгаради ва имзо қонуний
кучга эга бўлмай қолади.
Хулоса қилиб шуни айтиш мумкинки, ҳимояланган электрон почта қутиларидан
фойдаланиш нафақат ишончлиликни оширади, шу билан бирга, бошқарув органларига
электрон почта технологияси татбиқ этиш бу борада ҳужжатлар айлануви масалаларида
кенг имкониятлар яратади, ортиқча ходимлар меҳнатидан халос этади, бошқарув
қарорларини қабул қилиш тезлиги, назорати ошади. Ахборот хавфсизлигига ва иқтисодий
самарадорликка эришилади.
Фойдаланилган адабиётлар
1. “Электрон ҳужжат айланиши тўғрисида”ги Ўзбекистон Республикаси Қонуни.
11.12.2003 й.
2. “Электрон рақамли имзо тўғрисида”ги Ўзбекистон Республикаси Қонуни.
29.04.2003 й.
3. Акбаров Д.Е. Ахборот хавфсизлигини таъминлашнинг криптографик усуллари ва
уларнинг қўлланишлари. Тошкент. ”Ўзбекистон маркаси “, 2009. – 432 б.
4. O‘z DSt 1092:2009 «Ахборот технологияси. Ахборотнинг криптографик
муҳофазаси. Электрон рақамли имзони шакллантириш ва текшириш жараёнлари».
5. Хасанов Х.П. Такомиллашган диаматрицалар алгебралари ва параметрли алгебра
асосида криптотизимлар яратиш усуллари ва алгоритмлари. – Тошкент, 2008. 208 б.
АХБОРОТ ТИЗИМЛАРИДА ХАВФСИЗЛИК МУАММОСИ
Турсунов М. А., Шарипова С. С., Тошкент, ТАТУ магистрантлар.
Ҳозирги кунда ривожланиб бораётган ахборот технологиялари барча соҳаларда
кенг тадбиқ қилинмоқда. Бугун эртанги кунни уларсиз тасавур қилиб бўлмаслигини ҳеч
ким рад эта олмайди. Бугунги кунда ҳимояланган электрон хатлар алмашиш миллий
тизимларни яратиш муҳим масалалардан бири бўлиб ҳисобланади. Бундай тизимларни
яратишда катта эътиборни ахборот хавфсизлиги муаммосига қаратилиши лозим.
Юртимизда ахборот хавфсизлиги муаммосига катта эътибор қаратилган. Фикримизнинг
исботи сифатида Ўзбекистон Республикаси Президентининг 2005 йил 8 июлидаги 117ПҚ қарори, 2007 йил 3 апрелдаги «Ўзбекистон Республикасида ахборотни криптографик
мухофазалаш чора-тадбирлари тўғрисида»ги 614-сон қарори, Ўзбекистон Республикаси
Вазирлар Маҳкамасининг 2005 йил 22 ноябридаги №256-сонли қарори, Ўзбекистон
Республикаси Вазирлар Маҳкамасининг 2010 йил 22 июлдаги “Республикада қоғозни
тежаш ва ундан оқилона фойдаланишга доир чора-тадбирлар тўғрисида”ги 155-сонли
қарори ва 2013 йил 27 июндаги № ПҚ-1989 «Ўзбекистон Республикаси Миллий ахборот
коммуникация тизимини янада ривожлантириш чора тадбирлари тўғрисида»ги қарорини
бажариш юзасидан Вазирлар Маҳкамасининг 2013 йил 16 сентябрдаги қарори асосида
Ўзбекистон
Республикаси
Алоқа,
ахборотлаштириш
ва
телекоммуникация
61
технологиялари давлат қўмитаси қошида «Электрон ҳукумат» тизимини ривожлантириш
маркази ташкил этилгани, айни қарор асосида «Электрон ҳукумат» тизимини ахборот
комплекслари, ресурслари ва маълумотлар базаларининг ахборот хавфсизлигини
таъминлаш мақсадида ахборот хавфсизлигини таъминлаш маркази ҳам тузилганлигини
кўришимиз мумкин..
Юқоридаги қарорлар юзасидан қатор қонун ҳужжатлари ишлаб чиқилган бўлиб,
улар асосида мамлакатимизда яратилган дастурий воситалардан бири
E-HUJJAT
электрон ҳужжат алмашиш тизимидир. Электрон ҳужжат айланиши тизими (ЭҲТ)
ташкилотдаги иш юритишнинг мавжуд тизимини такомиллаштириш учун мўлжалланган.
ЭҲТ ЭРИни O‘z DSt 1092:2009 «Электрон рақамли имзони шакллантириш ва текшириш
жараёнлари» стандартига мувофиқ қўллайди. ЭҲТ фойдаланувчи ва чиқувчи
хужжатларнинг ўзбек (кирилл) ва рус тилларидаги интерфейсларини қўллаб-қувватлайди.
Тақдим этиш шаклларига қўйиладиган талаблар:
 Электрон почта принципидан фойдаланилди, бу ЭҲТдан фойдаланишни осонлаштиради;
 Электрон ҳужжатни жўнатиш учун вазифа шакллантирилади ;
 Вазифада
мавзуси;
кўрсатилади: жўнатувчи, олувчилар, топшириқ , бажариш муддати, вазифа
 Вазифа шакллари: вазифа, раҳбарият резолюцияси, назорат карточкаси.
Хавфсизлик талаблари:
 Тизим фойдаланувчиларининг ЭРИ асосида уларни аутентификация қилиш;
 Ахборотнинг бутунлигини текшириш .
Тизим қуйидагиларга имкон беради:
 Ахборот алмашинувининг самарали тизимини яратиш;
 Қоғозсиз электрон хужжат айланишига босқичма-босқич ўтиш;
 Электрон ҳужжатларнинг сақланиши ва самарали қидирувини таъминлаш.
Мазкур тизим билан бир қаторда маълумот алмашинишида электрон почталардан
ҳам кенг фойдаланилади. Дунё миқиёсида юзга яқин электрон почта тизимлари мавжуд
бўлиб улардан кўп ишлатиладигани ҳақида тўхталиб ўтамиз. Yahoo.com, yandex.ru,
mail.ru, rambler.ru, takemail.ru бундай почта тизимлари орқали жўнатилган хатларни чет эл
мутахасислари томонидан ўқиш имконияти мавжуд.
Экспертларнинг ҳамда олинган статистик маълумотларнинг таҳлилига кўра кунига
500 мингга яқин электрон хат чет эл махсус органлари томонидан доимо назорат қилиниб
келиш эҳтимоли бор хат алмашиш тизимлари - Yahoo.com, mail.ru, rambler.ru, takemail.ru
ва бошқалар орқали жўнатилади ёки қабул қилинади.
Ҳимояланмаган электрон хат алмашиш тизимлари орқали жўнатилган ҳар бир
хатни бузғунчилар томонидан олиб ўқиш, қалбакилаштириш ҳамда йўқ қилиш имконияти
мавжудлигидан мутахассисларнинг хабари бор.
Бу муаммони олдини олиш мақсадида Вазирлар Маҳкамаси томонидан 2011 йил 4
майда «Вазирлар Маҳкамасининг Ижро этувчи аппарати билан давлат ва хўжалик
бошқаруви органлари, маҳаллий ижро этувчи ҳокимият органлари ўртасида ҳимояланган
ягона корпоратив электрон почтани ва электрон ҳужжат айланиш тизимини жорий этиш
чоралари тўғрисида»ги 126-сон қарори қабул қилинди.
Ҳимояланган электрон почта тизимига қўйиладиган асосий талаблар
қуйидагилардан иборат:
 Узатилаётган, қабул қилинаётган ва серверда сақланаётган электрон хатларни
бузғунчи ва бегонашахслар ўқиб олмайдиган ва ўзгартириб бўлмайдиган ҳолга
келтириш;
 Тизимнинг давлат стандартлари талабларига жавоб бериши;
 Электрон хатларни электрон рақамлиимзо орқали жўнатиш.
62
Мутахасисларнинг фикрича, бу талабларга республикамизнинг етакчи
мутахассислари томонидан ишлаб чиқилган E-XAT ҳимояланган электрон хат алмашиш
тизими жавоб бериши аниқланди .
E-XAT ҳимояланган электрон хат алмашиш тизимининг асосий вазифаси
қуйидагилар:
- электрон хатларнинг бутунлиги;
- электрон хатларнинг махфийлиги;
- электрон хатларнинг ишончлилиги.
Умуман айтганда фойдаланувчилар ўртасидаги электрон хат ҳамда овоз
маълумотларини узатишдаги ҳимоясини таъминлаб бериш мақсадида ишлаб чиқилган.
E-XAT тизими қуйидаги криптографик стадартлар асосида ишлаб чиқилган.
 Электрон рақамли имзода - O’zDST 1092:2009 «Ахборот технологияси. Ахборотни
криптографик муҳофазаси. Электрон рақамли имзони шакллантириш ва текшириш
жараёнлари» миллий стандарти.
 Шифрлашда - O’zDST 1105:2009 «Ахборот технологияси. Ахборотни
криптографик мухофазаси. Маълумотларни шифрлаш алгоритми» миллий
стандартлари асосида ишлаб чиқилган.
E-XAT тизими қуйидаги криптографик масалаларига катта эътибор қаратилган:
 Электрон рақамли имзо;
 Электрон маълумотларни, жумладан овоз маълумотини ва бириктирилган
файлларни шифрлаш ва дешифрлаш;
 Махфий калитларни алмашиштизими;
 Аутентификация тизими;
 Калитларни ҳамда сертификатларни бошқариш тизими.
Хулоса қилиб шуни айтиш мумкинки, электрон кўринишдаги маълумотлар
алмашинувида E-Hujjat ва E-Xat тизимлари хавфсизлик талабларига тўла жавоб беради.
Маълумотлар базасидаги маълумотлар шифрланган ҳолда сақланади ва бу
фойдаланувчиларга кўплаб қулайликларни яратади. Республикамизда миллий
тизимлардан фойдаланиш катта самара бериши шубҳасиз.
ЭЛЕКТРОН ҲУЖЖАТ АЙЛАНИШ ТИЗИМЛАРИДА АХБОРОТ ХАВФСИЗЛИГИ
МУАММОСИ
Турсунов Миролим Аҳмадович (ТАТУ 2-курс магистранти)
Корхона ичида қоғозли ҳужжат айланувини кескин қисқартириш ҳамда
корхоналараро қоғозсиз ҳужжат айланувини йўлга қўйиш бугунги кундаги муҳим
вазифалардан ҳисобланади. Шунинг учун, корпоратив тизимларда ички ҳужжат айлануви
ахборот моделини тадқиқ қилиш, яратиш ва уни амалиётга тадбиқ этиш долзарб
муаммолардан бири ҳисобланади.
Ҳозирги кунда ахборот-коммуникация технологиялари кириб бормаган соҳани
учратиш жуда мушкул ҳисобланади. Шундай экан иқтисодиётнинг барча соҳаларида
ахборот-коммуникация технологиялари кенг қўланилмоқда. Шу билан бир қаторда
ахборт хавфсизлиги масалаларига кенгроқ тўхталиб ўтиш ҳозирги замон талаби десак
муболаға бўлмайди. Ахборот хавфсизлиги муаммоларига республикамизда ҳам катта
эътибор қаратилган. Фикримизнинг тасдиғи сифатида республикамизда қабул қилинган
Қонунларни келтириш мумкин:
29.04.2004 й.N 611-II «Электрон ҳужжат айланиши тўғрисида»ги,
63
11.12.2003 й. N 562-II «Электрон рақамли имзо тўғрисида»ги,
29.04.2004 й. N 613-II «Электрон тижорат тўғрисида» ги Қонунлари шулар
жумласидандир. Шунинг учун “Электрон ҳужжат айланиш тизимларида ахборот
хавфсилигини таъминлаш усуллари” мавзусида илмий изланиш олиб бориш муҳим
вазифалардан хисобланади.
Ҳозирги кунда дунё миқёсида электрон ҳужжат айланув тизимини яратиш ва
ривожлантириш бўйича бир қатор компаниялар томонидан дастурий маҳсулотлар ишлаб
чиқилган: Docs Fusion, Docs Open, CyberDocs, Documentum, LanDocs, Microsoft SharePoint
Portal Server Optima, Workflow, "БОСС-Референт", "Дело", "Евфрат", "Оптима", DocFlow
(NCI Project), NauDoc (Deter Technologies), Documentum 5.0 (Documentum), Lotus
Domino.doc, Globus Professional, Livelink ECM, Naumen DMS, PayDox ва х.к.
Республикамизда электрон ҳужжат айлануви тизимини ривожлантириш
муаммоларини
ечишда
соҳанинг
етук
мутахасисларидан
П.Ф.Хасанов,
М.А.Рахматуллаев, Ш.Назиров, Р.Р.Хамдамов,
Х.П.Хасанов, А.Р.Рўзиқуловлар ва
бошқалар ҳисса катта қўшганлар.
Шу соҳанинг етук мутахасислари томонидан бир қанча электрон ҳужжат айланиши
тизимлари яратилган бўлиб, мисол тариқасида “UNICON.UZ” давлат унитар корхонаси
мутахассислари томонидан ишлаб чиқилган
“E-Hujjat” га тўхталиб ўтамиз.
E-Hujjat тизими Вазирлар Маҳкамаси томонидан 1999 йилнинг 29 мартида 140-сон қарори
билан тасдиқланган меъёрий ҳужжатларга мувофиқ иш юритилиши ва ҳужжатлар
ижросини назорат қилиш талабларига жавоб беради. ЭҲТ ЭРИни O‘z DSt 1092:2009
«Электрон рақамли имзони шакллантириш ва текшириш жараёнлари» стандартига
мувофиқ қўллайди. Ҳозирги кунда ҳам бу тизим янада такомиллаштирилмоқда ва кенг
жорий этилмоқда.
“E-Hujjat” тизимида ахборот хавфсизлигини таъминлашда қуйидаги криптографик
усуллардан фойдаланилган:
- Тизим фойдаланувчиларининг ЭРИ асосида уларни аутентификация қилиш.
- Ахборотнинг бутунлигини текшириш.
Электрон хужжат алмашинув тизмларини олиб кўрганимизда ахборот
хавфсизлигини таъминлаш масаласига катта этибор қаратилган бўлиб уларнинг асосини
криптографик алгоритимлар ташкил этади. Ҳозирги кундаги ахборотларнинг
хавфсизлигини таъминлашни криптографик алгоритимларсиз тасавур этиб бўлмайди.
Ҳозирда қуйидаги масалаларда криптография кенг ишлатилади.
Маълумотларни асл маъносини яшириш мақсадида криптографик шифрлаш
алгоритмларидан кенг фойдаланилади. Аутентификациялаш мақсадида электрон рақамли
имзолар кенг қўлланилади. Хулоса қилиб айтадиган бўлсак корхоналарда электрон
хужжат айланиш миллий тизимларимиздан фойдаланадиган бўлсак, бир қанча
қулайликларга эга бўламиз. Биринчи навбатда хавфсизлик, вақтни тежалишига ҳафтанинг
7 куни ва бир кунда 24 соат мобайнида ишлаш имкониятини ва корхонада қоғозга
кетадиган сарф-ҳаражатларни камайтирилишга эришимиз мумкин.
AXBOROT XAVFSIZLIGIDA IDENTIFIKATSIYA VA AUTENTIFIKATSIYA
MASALALARI
Nabiyev A. Toshkent Axborot Texnologiyalari Universiteti
Magistri
Mazkur tezisda axborot xavfsizligini ta’minlashda identifikatsiya va autentifikatsiyaning
ahamiyati yoritilgan.
64
Ildam qadamlar bilan rivojlanayotgan kompyuter tehnologiyalari hayotimizda sezilarli
o’zgarishlarga sabab bo’lmoqda. “Axborot” tushunchasini sotib olish, sotish, biror narsaga
almashish va hokazolar mumkin bo’lgan maxsus tovarni belgilashda tez-tez ishlatila boshlandi.
Bunda axborotning narxi ko’pincha u joylashgan kompyuter tizimi narxidan yuz va ming marta
yuqori bo’ladi. Demak, axborotni ruxsatsiz foydalanishdan, atayin o’zgartirishdan, yo’q
qilishdan va boshqa jinoiy harakatlardan himoyalash zaruriyatining paydo bo’lishi tabiiydir.
Axborotni himoyalash muammosi kompyuter tizimlari va tarmoqlari sohasida faoliyat
ko’rsatuvchi mutaxassislar hamda zamonaviy kompyuter vositalaridan foydalanuvchilar etiborini
jalb etmoqda. Axborot xavfsizligini ta’minlash sohasida identifikatsiya va autentifikatsiya
tushunchalari muhim ahamiyat kasb etadi.
Identifikatsiya va autentifikatsiyani apparat-dasturiy ta’minot xavfsizlik masalalarining
eng yuqori darajasi sifatida qarash mumkin, chunki qolgan xizmat turlari nomlangan subektlarga
xizmat ko’rsatishga qaratilgan. Identifikatsiya va autntifikatsiya – bu birincha qatordagi himoya
liniyasidir, tashkilotning “o’tkazuvchi” axborot makonidir.
Identifikatsiya sub’ektga (foydalanuvchi, jarayon, xoh foydalanuvchi nomidan, xoh
apparat-dasturiy ta’minot nomidan) o’zini anglatishga imkon beradi. Autentifikatsiya orqali esa,
ikkinchi taraf subektning aynan “o’zi” ekanligini tasdiqlaydi. Ayrim hollarda “autentifikatsiya”
o’rniga “haqiqiylikni tekshirish” so’z birikmasi ham ishlatiladi.
Autentifikatsiya bir tomonlama (klient serverga) yoki ikkitomonlama (o’zaro tasdiq)
bo’lishi mumkin. Klient serverga tasdiqlash jarayoniga yorqin misol, klientni tizimga kirish
jarayoni.
Tarmoq muhitidagi qaralayotgan servisning ikkita asosiy aspektlari mavjud:
autentifikator sifatida nima ishlatiladi;
identifikator/autentifikator o’rtasidagi axborot almashinuvii qanday amalga oshiriladi.
Suv’yekt o’zining haqiqiyligini quyidagi mohiyatlardan kamida birini taqdim etgan
holda tasdiqlashi mumkin:
u biladigan nimadir( kalit so’z, shaxsiy identifikator raqami va h.z),
u egalik qiladigan nimadir(shaxsiy kartocha yoki shunga o’xshash qurilma),
o’zining biror qismi (barmoq izi, ovoz va h.z).
Ishonchli identifikatsiya nafaqat tarmoqdagi xavflar balki, bir qancha sabablar tufayli
qiyinlashadi. Deyarli barcha autentifikatsiya ko’rinishlarini bilib olish, o’g’irlash mumkin.
Autentifikatsiyani ishonchliligi (tizim administrator) va qulayligi (foydalanuvchi) yuzasidan
qarama – qarshiliklar mavjud. Shu tufayli xavfsilik yuzasidan foydalanuvchidan autentifikatsiya
axborotini ma’lum bir vaqt oralig’ida qayta kiritishni so’rash lozim (uning o’rniga boshqa odam
o’tirgan bo’lishi mumkin), bu esa yana qo’shimcha vaqt oladi uning ustiga kimdir kiritish
jarayonini ko’rib turishi mumkin. Yana bir sabab, xavfsizlik usuli qanchalik ishonchli bo’lsa, u
shunchalik qimmatdir.
Zamonaviy identifikatsiya/autentifikatsiya usullari tarmoqqa yagona kirish usulini
qo’lashi lozim. Tarmoqqa yagona kirish usuli – birinchi galda foydalanuvchilarga qulaylik, agar
korporativ tarmoqlarda mustaqil murojaatlar mavjud bo’lsa, ko’p karrali identifikatsiya va
autentifikatsiya juda ham qiyin bo’lib katadi. Afsuski, tarmoqqa yagona kirish hozircha normaga
aylanmadi, dominant bo’ladigan yechim hali topilmadi yoki formulirovka qilinmagan.
Autentifikatsiyani to’liq ta’minlashda kriptografik usul bo’lgan elektron raqamli imzodan
foydalanish yuqori samara beradi.
ИССЛЕДОВАНИЕ И ОПТИМИЗАЦИЯ ЗАЩИТЫ СИСТЕМЫ ЭЛЕКТРОННОГО
ДОКУМЕНТООБОРОТА
Турсунбаев У.Т.
65
In this work safety issues of the systems of electronic document flow are considered and
learned, conducted researches, topical issues are analysed and further prospects of
modernizations are provided.
Ушбу тезисда электрон ҳужжат айланиш тизимлари ҳавфсизлиги муаммолари
кўриб чиқилган ва ўрганилган ҳамда изланишлар олиб борилган, унинг долзарб
муаммолари таҳлил қилинган ва модернизациялаш истиқболлари кўзда тутилган.
В настоящее время в Республике Узбекистан ведется активное разработка и
внедрение платформы «электронного правительства». Одним из составляющих элементов
этой платформы является система электронного документооборота[1].
Системы электронного документооборота в нашей стране все более широко
распространяются. Действует законы “Об электронном документообороте”, “Об
электронной цифровой подписи” и другие законодательные документы, которые дают
дополнительный импульс в развитии систем электронного документооборота. При
внедрении электронного документооборота одним из первых требований является
безопасность системы[2]. В настоящее время есть многочисленные методы защиты
системы, но как мы знаем, нет универсальной защищенной системы. Системы,
используемые в массовом порядке, быстро распространяется и это приводит к
обнаружению ошибок и дает возможность использование их в злоумышленных целях.
Поэтому анализ и оптимизация систем электронного документооборота всегда остается
актуальным.
Поэтому была изучена безопасность систем ЭДО(E-Hujjat, Germes, Doc-Flow),
распространённые на национальном рынке. Стало известно, что в этих системах создано
возможность использования ЭЦП на основе национального стандарта(O`zDSt 1092-2009 –
“Процессы формирования и проверки электронных цифровых подписей). Процесс
авторизации в системе E-Hujjat осуществляется использованием национального криптоалгоритма (O`zDSt 1105-2009 - Алгоритм шифрования данных).
При изучении возможностей безопасности обслуживаемых через сеть в
вышеуказанных системах, стало известно возможность использования протокола HTTPS,
который применяется во всем мире для обмена данными через незащищенных сетей. При
обмене данными, стандарт HTTPS использует алгоритмы шифрования AES, DES, Triple
DES. Эти алгоритмы признаются высокоустойчивыми, но алгоритмы национального
шифрования имеют такую качеству и целесообразно использовать её во внутри
республики. Но еще не создан защищенный веб протокол, работающий на национальном
стандарте.
Такая возможность исследуется на данном времени. Изучается дополнительные
модули, которые должны быть внесены в веб серверу и возможности использования
браузерных плагинов, которые должны работать на клиентской части.
Открытая текстовая
информация (логин, пароль)
Клиент
HTTP
Сервер
HTTPS
Шифрованные данные
(AES, DES, Triple DES)
66
Литература
1.
«Перспективы электронного правительства», Някина Е.С., Погодина Е.С.,
Государственное управление. Электронный вестник. Выпуск № 31. Апрель 2012 г.
2.
O’z DST 2298:2011 Информационная технология. Электронный документооборот.
Типовые требования.
ВЕБ ТЕХНОЛОГИЯЛАР АСОСИДА ФОЙДАЛАНУВЧИЛАРНИ
АУТЕНТИФИКАЦИЯ ҚИЛИШ ЖАРАЁНИ ТАҲЛИЛИ
Турсунбаев Учқун Тургунович, Тошкент (ТАТУ, магистр)
Ушбу тезисда веб хизмати орқали йўлга қўйиш мумкин бўлган аутентификация
жараёнлари таҳлил этилган, уларнинг афзалликлари ва камчиликлари кўрсатиб ўтилган.
В данном тезисе анализировано возможные пути процесса аутентификации в веб
службах, и показано их преимущество и недостатки.
Веб хизмати орқали маълумот узатиш тармоғида хизмат қилувчи дастурлар
яратиш жуда қулай ҳисобланади. Бундай дастурлар сирасига электрон ҳужжат айланиш
тизимлари, бухгалтерия-ҳисоб тизимлари, масофавий таълим тизимларини киритиш
мумкин. Ҳар қандай дастурда бўлгани каби веб иловаларда ҳам фойдаланувчини
аутентификация қилиш зарурати бор. Буни амалга оширишнинг 3 та кенг тарқалган
йўллари мавжуд:
1. Фойдаланувчи реквизитлари орқали.
2. Фойдаланувчининг хос маълумотлари орқали.
3. Фойдаланувчининг 3-тарафга берган маълумотларини ўқиш орқали.
Уларни батафсил кўриб чиқишга ҳаракат қиламиз.
1. Фойдаланувчи реквизитлари орқали. Фойдаланувчи веб сервердан маълумот олиш
учун сўров жўнатиш пайтида ўзи ҳақидаги маълумотларни ҳам етказади. Бу
маълумотларга фойдаланувчининг тармоқ манзили, компьютеридаги тизим, браузер
маълумотлари кабилар киради. Ушбу маълумотлар орқали тизим сервери
фойдаланувчини аутентификациядан ўтказади. Кичик ҳажмдаги, хавфсизликка
минимум талаби бўлган тизимларга тўғри келади.
Фойдаланувчи
IP манзил,
браузер...
Веб-сервер
Сараланган
маълумот
Афзаллиги: Фойдаланувчи тизимга киришдаги хос маълумотларни киритиш ойнасига
дуч келмайди, тизимдан вақт ўтиши билан чиқарилиб юборилмайди.
67
Камчилиги: Фойдаланувчи ягона иш жойига боғланиб қолади. Бузғунчи учун деярли
хеч қандай тўсиқ мавжуд эмас. Бузғунчи ўзининг тармоқ маълумотини ва тизим
маълумотини алмаштириб, фойдаланувчи номидан тизимга киради.
2. Фойдаланувчининг хос маълумотлари орқали. Фойдаланувчи тизимга киришда хос
маълумотни сўровчи ойнага юборилади. Хос маълумотлар (масалан, логин, парол,
ЭРИ) киритилиб, тизим серверидаги ҳақиқий маълумотга солиштирилади.
Муваффақиятли ҳолатда фойдаланувчи аутентификациядан ўтказилади. Ҳар қандай
ҳажмдаги ахборот тизимлари учун тўғри келади.
Фойдаланувчи
Хос маълумот
Веб-сервер
Сараланган
маълумот
Афзаллиги: Хос маълумот - тизимга рухсатсиз киришни қийинлаштиради. Хос
маълумотнинг тез-тез алмаштирилиб турилиши тизимни хавфсизлигини таъминлашга
яхши хизмат қилади. Фойдаланувчи ягона иш жойига боғланмаган.
Камчилиги: Фойдаланувчи хос маълумотларини қайта-қайта киритиб туриши лозим.
Бузғунчининг фойдаланувчи маълумотларига эга бўлиб қолиши имконияти мавжуд
(кейлоггер, прокси, сниффер, фишинг).
3. Фойдаланувчининг 3-тарафга берган маълумотларини ўқиш орқали.
Фойдаланувчи маълумотлари учинчи томондаги бетараф тизимда сақланади. Тизим
фойдаланувчидан кириш маълумотини сўраб учинчи томонга жўнатади, учинчи томон
фойдаланувчи розилиги билан маълумотни тизимга тақдим этади (OpenID, OAuth).
Ишончли аутентификация серверига боғланган, кичик ва ўрта ҳажмдаги веб иловалар
яратишга қулай.
Фойдаланувчи
Хос маълумот
сўрови
Сараланган маълумот
Аутентификация сервери
Веб-сервер
Хос маълумот
тақдими
Афзаллиги: Фойдаланувчининг хос маълумотлари учинчи тарафда сақлангани
сабаб фойдаланувчига бузғунчи таҳдиди самарасиз. Аутентификация сервери рухсат
68
этилган тизимга киришни дарҳол амалга ошириб, фойдаланувчидан ортиқча ҳаракат талаб
этмайди.
Камчилиги: Иш фаолияти учинчи тарафга боғланиб қолади. Аутентификация
серверидаги бетарафлик функциясининг бузилиши жиддий хавф туғдиради.
Биз веб иловалардаги аутентификация имкониятларининг асосийларини кўриб
чиқдик. Амалда бу имкониятлардан аралаш кўринишда фойдаланиш ва аутентификация
жараёнини ҳар қандай керакли хавфсизлик даражасига олиб чиқиш мумкин. Жумладан, 1ва 2- усул комбинацияларидан фойдаланиш амалиётда жуда кўп учрайди. 1- ва 3-, 1-,2-,3комбинациялари эса юқори даражадаги ҳимояни таъминлайди.
ТАЪЛИМ МУАССАСАЛАРИДА АХБОРОТ ХАВФСИЗЛИГИ МУАММОЛАРИ
Матякубов Алишер Самандарович, Тошкент шаҳри
Шамуратов Бахтияр Айтбаевич, Тошкент шаҳри
Бугунги кунда ўрта мактабдан бошлаб олий таълим муассасаларигача ўқувчи ва
талабаларга Информатика ва ахборот технологиялари фани (турли кўринишларда) дарслар
давомида ўргатилмоқда. Деярли барча таълим муассасалари компьютер синфлари
интернет тармоғига уланган. Бу эса ўз-ўзидан таълим муассасаларида ахборот
хавфсизлиги масалалари жуда ҳам долзарб эканлигини келтириб чиқаради.
На сегодняшний день занятия по информатике и информационной технологий (в
разных формах) преподаются начиная со школьных программ заканчивая более
углубленными курсами в высших учебных заведениях. В этих заведениях почти все
компьютеры подключены к интернету и следовательно возникает актуальный на
сегодняшний день вопрос об информационной безопасности.
Ахборот технологиялари соҳаси XXI асрда шиддат билан ривожланиб, инсоният
турмуш тарзининг ажралмас қисмига айланиб қолди. Мамлакатимизда ҳам бу соҳада бир
қанча қонуний ҳужжатлар қабул қилиниб, ахборот технологиялари соҳаси ривожланиши
учун қатор ишлар амалга оширилмоқда. Шу билан бир қаторда таълим муассасалари
замонавий ахборот-коммуникация технологиялари билан таъминланмоқда, Информатика
ва ахборот технологиялари фани (турли кўринишларда) дарслари соатлари
кўпайтирилмоқда, янги йўналишлар, янги фанлар киритилмоқда, баъзи олий таълим
муассасаларида талабаларга енгиллик яратиш мақсадида имтиёзли кредитларга ноутбук
ёки нэтбуклар ҳам берилмоқда, бир сўз билан айтганда ёшларнинг сифатли таълим
олишлари ва кенг дунёқарашга эга бўлишлари учун имкониятлар яратилмоқда.
Яратилаётган имкониятлардан қанчалик тўғри фойдаланилмоқда, фақатгина техник
томонидан эмас, мазмун жиҳатдан ҳам манбалар билан тўлиқ таъминлай оляпмизми деган
саволлар очиқ қолмоқда. Албатта электрон ўқув қўлланмалар, дарсликлар яратилмоқда,
электрон кутубхоналар ташкил этилмоқда, аммо ёшлар ахборот технологияларини фақат
таълим олиш учун эмас, балки ахборот алмашиш, маданий ҳордиқ чиқариш,
янгиликлардан хабардор бўлиш мақсадларида ҳам фойдаланади. Бу соҳада қилинаётган
ишларнинг етарли эмаслигини таъкидлаган ҳолда, қуйидаги масалаларга аҳамият қаратиш
лозим деб ҳисоблаймиз:
1. Миллий операцион тизим яратиш. Ҳозирги вақтда фойдаланилаётган операцион
тизимларнинг аксарияти Windows операцион тизимининг турли версияларидан
(аксарияти рус тилида) ташкил топган ва лицензияга эга эмас, яъни бу тизим
69
2.
3.
4.
5.
дастурлари орасида маълумот жўнатувчи, қабул қилувчи, умуман Windows дастурлари
пакетига кирмаган ҳар қандай кодлар жойлаштирилган бўлиши мумкин. Бу эса ўзўзидан бундай компьютерларнинг ахборот хавфсизлиги масалаларига жавоб
бермаслигини билдиради. Бу муаммони лицензияга эга бўлган Windows операцион
тизимини сотиб олиш ёки миллий операцион тизимни яратиш орқали ечиш мумкин.
Иккала ҳолда ҳам катта маблағ талаб қилади, лекин миллий операцион тизим яратилса
маблағ ҳар йили эмас, фақат бир марта сарфланади. Шу сабабли ҳам миллий
операцион тизим яратиш мақсадга мувофиқ деб ҳисоблаймиз.
Ахборот алмашиш тизимларини мукаммаллаштириш. Бугунги кунда чет эл
хавфсизлик хизматлари ахборот алмашиш ва қидириш тизимларидан ихтиёрий
маълумотларни олиб келаётганликларидан оммавий ахборот воситалари орқали бутун
жамоатчилик хабар топди. Бу эса миллий ахборот алмашиш тизимларини яратиш ва
мавжудларини такомиллаштириш зарурлигини кўрсатади.
Маданий ҳордиқ чиқаришга йўналтирилган сайтлар ҳам етарли эмас, борларида ҳам
манбаларнинг аксарияти ўзбек тилида эмас. Бундай сайтларни яратиш учун танловлар
эълон қилиш ва хостинг-провайдерлар имтиёзли нархларда серверларига
жойлаштириш хизматлари кўрсатилишини таъминлаш лозим.
Ижтимоий тармоқлар фаолиятини такомиллаштириш. Бугунги кунда ижтимоий
тармоқсиз интернетни тасаввур қилиш қийин. Бундай тармоқлар фойдаланувчиларга
мулоқот учун бир қанча қулайликлар яратиб беради. Айниқса ўқувчи ва талабалар
ижтимоий тармоқлардан кенг фойдаланадилар. Шундай экан миллий ижтимоий
тармоқлар яратиш учун танловлар эълон қилиш ва провайдерлар томонидан имтиёзли
нархларда серверларига жойлаштириш ва интернет хизматлари кўрсатилишини
таъминлаш лозим.
Янгиликларга оид сайтлар фаолияти қайта кўриб чиқилиши лозим. Республика ва
хориж хабарларини тезкор етказиб берадиган сайтлар орасида рақобатбардош муҳит
шакллантирилиши лозим. Ўқувчи ва талабалар янгиликларни хориж сайтларидан эмас
(ахборотни талқин қилиш ҳар хил бўлиши мумкин), ўзимизнинг сайтлардан қидирсин,
бунинг учун эса келтирилаётган ахборотларда танқидга йўналтирилган маълумотлар
ҳажмини орттириш лозим.
Президентимиз И.Каримовнинг “Мафкура полигонлари ядро полигонларидан
кучлидир” деган фикрларини мушоҳада қилган ҳолда, ёшларимизни ўз ҳолига ташлаб
қўймасдан, юқорида келтирилган масалаларга жиддий аҳамият қаратишимиз лозим деб
ҳисоблаймиз.
Хулоса қилиб айтганда, ахборот хавфсизлиги муаммоларига комплекс тарзда
ёндашмас эканмиз, қўйилган мақсадларимизга ета олмаймиз.
АНАЛИЗ УГРОЗ ИНФОРМАЦИОННОЙ БЕЗОПАСНОСТИ
Гулямова Д.Р. ТУИТ, старший преподаватель
Самигова Г.А. УзГИИК, преподователь
В настоящее время рассматривается достаточно обширный перечень угроз
информационной безопасности автоматизированных систем (АС), насчитывающий сотни
пунктов. Наиболее характерные и часто реализуемые из них перечислены ниже:
- несанкционированные копирование носителей информации;
70
- неосторожные действия приводящие к разглашению конфиденциальной
информации или делающие ее общедоступной;
- игнорирование организационных ограничений при определении ранга системы.
Задание возможных угроз информационной безопасности проводятся с целью
определения полного перечня требований к разрабатываемой системе защиты. Перечень
угроз оценки вероятности их реализации, а также модель нарушителей служит основой
для анализа риска реализации угроз на основе их классификации по ряду признаков.
Каждый из признаков классификации отражает одно из обобщенных требований к
системе защиты. При этом угрозы, соответствующие каждому признаку классификации,
позволяют детализировать отражаемое этим признаком требование.
Необходимость
классификации
угроз
информационной
безопасности
автоматизированных систем обусловлено тем, что архитектура современных средств
автоматизированной обработки информации такая, что накапливаемая хранимая и
обрабатываемая информация подвержена случайным влияниям чрезвычайно большого
числа факторов, в силе чего становится невозможным формализовать задачу описания
полного множества угроз. Как следствие для защищаемой системы определяют неполный
перечень классов угроз.
Данные виды угроз можно считать первичными или непосредственными, так как
если рассматривать понятие угрозы как некоторой потенциальной опасности, реализация
которой наносит ущерб информационной системе, то реализация вышеперечисленных
угроз приведет к непосредственному воздействию на информацию возможно для
атакующей стороны в том случае, если система, которой циркулирует информация для нее
«прозрачно», т.е. не существует никаких систем или других препятствий.
На современном этапе развития информационных технологий подсистемы или
функции защиты являются неотъемлемой частью комплексов по обработке информации.
Информация не представляется «в чистом виде»,
на пути к ней имеется хотя бы какая-нибудь система защиты, и поэтому чтобы
угрожать скажем нарушением конфиденциальности, атакующая сторона должна
преодолеть эту систему. Однако не существуют абсолютно стойкой системы защиты,
вопрос лишь во времени и средствах требующихся на ее преодоление. Исходя из данных
условий примем следующую модель:
-защиты информационной системы считаются преодоленной, если в ходе ее
исследования определены все уязвимости системы. Поскольку преодоление защиты
также представляет собой угрозу, для защищенных систем будем рассматривать ее угрозу
раскрытие параметров АС, включающий в себя систему защиты. С точки зрения практики
любое проводимое мероприятие предваряется этапом разведки, в ходе которого
определяется основные параметры системы, ее характеристики и т.п. Результатом этого
этапа является уточнение поставленной задачи, а также выбор наиболее оптимального
технического средства.
MA’LUMOTLARNI HIMOYALASH USULLARI
Gulyamova D.R. TATU, katta o’qituvchi
Samigova G.A. O’zDSMI, o’qituvchi
Ma’lumot himoyasini ta’minlashda, quyida ko’rsatilgan ma’lumot obyektlari va
birliklarining qaysi birini himoyalash lozimligi aniqlanadi: berilgan qiymatlar maydoni
71
yozuvlar, fayllar, dasturlar, disklar va hokazo, ofydalanuvchining ishlashiga ruhsat berish
jarayoni va vakolatlari aniqlanadi.
Himoya tizimlarini loyihalashda himoya buzilishining turlarini turkumlash kata
ahamiyatga ega, ya’ni kiritilgan qiymatlarni o’qib olish, o’zgartirish, ma’lumotlari buzish.
Ma’lumotlarni kiritiladigan qiymatlari, maullifning roziligini olgan foydalanuvchi
orqali, shuningdek eshitib olish, ekrandan ko’rib olish, ish jarayonini yopmagan foydalanuvchi
ketidan EHMdan foydalanish va axborotlarni aloqa tarmoqlari orqali tutip olish usuli bilan
ochiladi va oshkor etiladi. Disklar paketi, lentalardigi nusxalarini va ko’chma vinchesterlar ham
o’grilanishi mumkin.
Ma’lumot qiymartlarini buzishning eng sodda usuli- ma’lumot manbasini jismoniy
buzish. Ma’lumotlar omborini noto’g’ri toldirish va yangilashda ham ma’lumot qiymatlari
yo’qolishi mumkin. Ma’lumotlar omborini boshqaruv tizimini buzib ham yakson qilish mimkin.
Tizimga viruslar va boshqa buzuvchi dasturlar kirishi ayniqsa havflidir. Ma’lumotlar omboridan
foydalanish imkoniyatining yo’qolishi- uning buzilishiga tenglashtiriladi.
Ma’lumotlarni himoyalashning asosiy omillari quyidagilardan iboratdir:
-tizimga yaratish jarayonida himoya vositalarini kiritish;
-himoyalashning ko’p pog’onali kompleks va egiluvchan tizimlari;
-iqtisodiy zarurligi ma’lumotni ochilishi yoki buzilishidan ko’rilgan zaralarni himoya
chora-tadbirlarining qiymat bilan solishtirish;
-himoya vositalari va usullarini standartlashtirish va uyg’unlashtirish.
Ma’lumotlarning omboridan foydalanishni boshqarishda, birinchi navbatda
foydalanuvchining shaxsini aniqlash, vakolatini tekshirish katta ahamiyatga egadir. Shaxsini
aniqlashda odatda paroldan foydalaniladi. Parolning hususiy ko’rinishi- algoritmik: ya’ni
foydalanuvhci mashina taklif etgan tasodifiy son bilan mahfiylashtirilgan amal bajariladi,
natijasi esa mashina xotirasidagi bilan solishtiriladi.
Foydalanuvchining shaxsi odatda fismoniy kalit- magnit kartasi, kontaktli plastina,
barmoq izi, kaft o’lchamlari va boshqalar bilan tekshiriladi.
Keltirilgan himoya usullari nihoyatda mas’uliyatli holatlarda kriptografik
himoya(kiritiladigan ma’lumot qiymatlarini avtomatik ravishda shifrlash) bilan birga ishlatiladi.
Ma’lumot saqlaydigan magnit manbalarini o’girlash va ma’suliyatini aloqa tarmoqlari
orqali tutib olishdan saqlashning nisbatan ishonchli bo’lgan birda bir usuli shifrlashdir.
ОЛИЙ ТАЪЛИМ ТИЗИМИ ТАРМОҚ РЕСУРСЛАРИНИ ҲИМОЯСИНИ
ТАШКИЛ ЭТИШ МАСАЛАЛАРИ
Бобомурадов Озод Жўраевич, Тошкент
Тезисда Ўзбекистон Республикаси Олий ва ўрта махсус таълим вазирлиги
корпортаив тармоғи ва унда жойлаштирилган ресурслар ҳимоясини ташкил этиш
масалалари қараб ўтилган. Корпоратив тармоқда ресурслар ҳимоясини амалга
оширишнинг техник ва ташкилий омиллари баён этилган.
В тезисе рассмотрены вопросы организации защиты корпоративной сети и
ресурсов Министерство высшего и средне специального образования Республики
Узбекистан. Описаны технические и организационные факторы реализации защиты
ресурсов корпоративной сети.
Ўзбекистон Республикаси Олий ва ўрта махсус таълим вазирлиги олйи таълим
тизими ўзида 58 олий таълим муассаса (ОТМ)си, 11та филиаллари ҳамда 5та чет эл олий
72
таълим муассасалари филиаллари, 5та тасарруфдаги марказлардан ташкил топган.
Ўзбекистон Республикаси Президентининг 2012 йил 16 апрелдаги “Ўзбекистон
Республикасида “Электрон таълим миллий тармоғини яратиш” инвестицион лойиҳасини
амалга ошириш чора-тадбирлари тўғрисида”ги ПҚ-1740-сонли Қарори олий таълим
таълим тизимида замонавий коммуникация технологияларини ўзида мужассамлаштирган
вазирлик корпоратив тармоғини таркиб топтирди. Ўзбекистон Республикаси Вазирлар
Маҳкамасининг 2012 йил 25 июлдаги “Ўзбекистон Республикаси Олий ва ўрта махсус
таълим вазирлиги ҳузуридаги Таълим муассасаларида электрон таълимни жорий этиш
марказини ташкил этиш тўғрисида”ги 228-сонли қарори асосида вазирликнинг олий
таълим тизимида “Электрон таълим” Миллий тармоғини бошқарув ва услубий қўллабқувватлашни амалга оширувчи марказ барпо этилди. Олий таълим тизими корпоратив
тармоғига 58 та асосий ОТМлари, 11та филиаллар, 4та марказ ҳамда “Истеъдод”
жамғармаси уланган. “Электрон таълим” Миллий тармоғини ташкил этиш бўйича олиб
борилган ишлар натижасида республиканинг барча олий таълим муассасалари ягона кенг
йўлакли корпоратив тармоқ билан қамраб олинган (1-чизма). Ушбу тармоқда
вазирликнинг бир қатор амалиётга жорий этилаётган автоматлаштирилган ахборот
тизимлари, масофавий таълим элементлари ҳамда турли таълим ресурслари
жойлаштирилган бўлиб, уларнинг ҳимоясини амалга ошириш учун зарурий ташкилийтехник ишлар амалга оширилган.
1-чизма. Вазирлик корпоратив тармоғида ташкил этилган “Электрон таълим”
Миллий тармоғи тузилмаси.
73
2-чизма. ОЎМТВ ҳамда ТМЭТЖЭМ тармоқнинг боғланиши тузилмаси.
Вазирлик корпоратив тамоғи вазирлик аппарати, марказлар ҳамда ОТМлар локал
тармоқлари ва уларни бирлаштирувчи коммуникация тармоғидан ташкил топган. Ўзаро
боғланишлар “Ўзбектелеком” компанияси томонидан ўтказилган оптик толали тармоқ
ҳудудий телефон станциялари орқали амалга оширилган. Кенг йўлакли тармоқнинг
муассасалардан ташқари қисмида техник хавфсизлик “Ўзбектелеком” компанияси
томонидан таъминланиб, муассасалар кирувчи ва чиқувчи каналларини “HUAWEY”
техник қурилмалари томнидан амалга оширилади.
Шу билан бир қаторда вазирлик ва тасарруфдаги муассасалар сервер ва
коомпьютер ишчи ўринлари ҳимоясини етакчи компанияларнинг техник ҳимоялаш
воситалари ёрдамида амалага оширилади. Ҳусусан, ОЎМТВ марказий аппарати ҳимоя
воситаси сифатида CISCO, ТМЭТЖЭМ тармоқ ресурслари ҳимоясини HP
конденсаторлари амалга оширади. Ҳудди шундай ОТМлар ресурс ҳимояларини асосан
CISCO воситаси ёрдамида ҳимояланиш ўрнатилган. Техник қурилмалар бошқаруви
дастурий ҳимоялар билан мустаҳкамланган.
Вазирлик корпоратив тармоғида амалга оширилган “Электрон таълим” Миллий
тармоғи ўз таркибида қуйидаги воситаларни амалга оширган:
1.
Масофавий электрон таълим тизими;
2.
Малака ошириш ва қайта тайёрлаш тизими;
3.
Электрон ахборот-ресурсларнинг автоматлаштирилган тизими: Таълимнинг
ахборот-ресурс таъминоти тизимини шакллантириш учун вазирликнинг 2012 йил 10
июндаги 250-сонли буйруғи асосида Тошкент ахборот технологиялари университетининг
бир гуруҳ олимлари томонидан яратилган “АРМАТ” ахборот-русурс марказларининг
автоматлаштирилган тизими жорий этилган;
4.
Таълимнинг меъёрий-услубий таъминоти.
5.
Олий таълим муассасаларидаги илмий фаолиятни ташкил этиш ва
бошқариш.
Корпоратив тармоқда вазирлик бошқаруви масалаларини ечишга йўналтирилган
бир қатор автоматлаштирилган ахборот тизимлари жорий этилмоқда, жумладан:
 Электрон хужжат алмашиш тизими ААТ;
 Универсал тест дастурий тизими;
 Ўқув жараёни мониторинг тизими.
Вазирлик корпоратив тармоғига жойлаштирилаётган тизимлар ҳар бир тизимнинг
ҳусусиятларидан ва таркибидан келиб чиққан ҳолда ички хавфсизлик модуллари билан
таъминланган. Вазирликнинг ички ахборот-коммуникация воситалари ижарага олинган
телекоммуникация алоқа тармоқлари, илғор ишлаб чиқарувчи корхоналарнинг (HP, Cisco,
74
Zyxel ва шу кабилар) сертификатланган тармоқ қурилмалари (серверлар,
маршрутизаторлар, концентраторлар, брандмауэрлар ва шу кабилар), лицензияга эга
дастурий таъминотлар (Microsoft, Cisco, Касперский ва шу кабилар) ҳамда тармоқда
шакллантирилган ва йўлга қўйилган барча турдаги тармоқ тизимларидан ташкил топган.
ТИББИЁТ МУАССАСАЛАРИ ФАОЛИЯТИНИ АВТОМАТЛАШТИРИШ
ТИЗИМЛАРИНИ ЯРАТИШ ВА УЛАРДА АXБОРОТ XАВФСИЗЛИГИНИ
ТАЪМИНЛАШ
Рустамов Баxтиёр Нормаматович, ТОШКЕНТ
В данной статье проанализированы и рассмотрены методы автоматизации
рабочих процессов медицинских учреждений. Целью данной работы является внедрение
оперативного управления путём автоматизации медицинских учреждений
и
безопасности данных.
Тиббиёт муассасалари фаолиятида шифокорлар томонидан турли қоғоз
ҳужжатларида содир бўлиши мумкин бўлган xатоликларни олдини олиш ва беморларни
даволаниш жараёнини ишончлилигини таъминлаш долзарб мавзулардан биридир.
Тиббиёт муассасаларининг фаолияти таҳлил қилиниб, уларни автоматлаштириш учун
шифокорлар иш юритуви ва беморларнинг даволаниш жараёнлари ўрганиб чиқилди.
Шунга асосан тиббиёт муассасалари фаолиятини автоматлаштириш тизими вебтеxнологиялардан фойдаланган ҳолда, уч босқичли, “мижоз-сервер” арxитектурасида
ишлаб чиқилди ва улардаги маълумотлар xавфсизлигини таъминлаш чоралари кўрилди.
Тиббиёт муассасалари фаолиятини автоматлаштириш тизимида барча даволовчи врачлар,
диагностика бўлимлари иш жараёни бир тизимга бирлаштирилди ва ҳар бир шифокор
учун тизимдан фойдаланиш ҳуқуқлари белгиланди. Ушбу фойдаланиш ҳуқуқларига
асосан тизим ички xавфсизлиги таъминланди.
Тизимни ҳимоялаш теxнологияси қуйидаги босқичларда амалга оширилди:
· Фойдаланувчиларни идентификация ва аутентификация қилиш.
· Тизимдан фойдаланиш ҳуқуқларини белгилаш.
· Бегона дастурлардан ҳимоялаш.
· Криптоҳимоялаш.
· Ҳодисаларни ёзиб қолиш.
Тиббиёт муассасаси иш жараёнини автоматлаштирувчи тизим ягона маълумотлар
базасидан фойдаланган ҳолда, интернет орқали ёки компьютер тармоғида ишлаши
мўлжалланган. Беморларнинг анкеталари, касалликлар тариxи ва турли текширув
натижалари электрон кўринишда бўлимлар орасида, тармоқ орқали узатилади. Ушбу
маълумотларнинг xавфсизлигини таъминлаш учун юқорида саналган ҳимоялаш
технологияларидан фойдаланган ҳолда, 1-расмда кўрсатилган схема асосида, тиббиёт
муассасасини автоматлаштирувчи тизим ишлаб чиқилди.
75
1-расм.
ПРОБЛЕМАТИКА ЗАЩИТЫ КОНЕЧНЫХ ТОЧЕК ОТ СОВРЕМЕННЫХ УГРОЗ
Сергей Мильцин, технический консультант Symantec.
Основные тенденции.
Фокус атак смещается с крупных предприятий на мелкие. Анализ показывает, что
более 50% атак было совершено на предприятия малого и среднего размера с количеством
сотрудников менее 2500.
Злоумышленники претендуют на роль «Большого брата». Теперь большое
количество вирусов имеют функционал отслеживания действий пользователей,
записывают нажатия клавиш, снимают скриншоты экрана, записывают видео. Все эти
данные аккумулируются и в дальнейшем используются создателями вирусов для
противоправных действий.
Тренды за 2012 год.
Целевые атаки возросли на 42%.
Количество блокированных атак через web достигало 247 тысяч в день.
Количество вредоносных веб-доменов достигло 74 тысяч.
Самой атакуемой областью деятельности стало производство (24% от всех атак), за
ней идут финансовый сектор (19%), услугу, гос.сектор.
По утечкам данных лидирует здравоохранение – 36% от числа всех утечек
приходится на эту отрасль. За ним идут образование (16%), гос.сектор (13%) и
финансовый сектор(9%).
Основными причинами утечки является деятельность хакеров – до 40%, далее идут
случайные непреднамеренные утечки, когда приватные данные становились публичными
по ошибке (23%), также часто данные обнародовались в результате краж и потерь
компьютеров и носителей информации. Лишь 8% случаев составили действия инсайдеров.
С каждым годом атаки становятся изощреннее, появился термин Advanced
Persistent Threat (APT), означающий многокомпонентные атаки с элементами социальной
инженерии и применением уязвимостей нулевого дня.
Рекомендации – считать свою организацию целью злоумышленников,
эшелонировать защиту, обучать специалистов, внедрять защиту от утечек.
Прогноз на будущее
Увеличение атак, связанных с достижениями политических целей.
76
Рост угроз через Web с выходом в лидеры угроз распространяемых через
социальные сети.
Рост атак на провайдеров облачных решений.
Источник статистических данных – отчет Internet Security Threat Report 2013
АХБОРОТЛАРНИ ХАВФСИЗ УЗАТИШДА БЛОКЛИ ШИФРЛАШ
АЛГОРИТМЛАРИНИНГ РОЛИ
Холиқов Э., Сулайманов У. Тошкент, ТАТУ (2-курс магистрантлари)
Инсоният
тараққиётининг
ҳозирги
даврини
ахборот-коммуникация
технологияларсиз (АКТ) тасаввур этиб бўлмайди. АКТ орқали узатиладиган ахборот
жамият ривожининг муҳим шартларидан бири бўлиб қолди. У ишлаб чиқариш ресурси,
инсонлар орасидаги алоқани таъминловчи қудратли воситага айланди. Шу боис давлат
ҳокимияти ва бошқаруви органлари, умуман, жамиятнинг ахборот узатиш тезлиги ҳамда
сифатига бўлган талаблари кун сайин ортиб бормоқда. Шу сабабли мамлакатимизда
компьютер ва ахборот технологиялари, телекоммуникация ва маълумот узатиш
тармоқларини, Интернет хизматларини ривожлантириш ва замонавийлаштириш амалга
оширилаётганига гувоҳ бўлаяпмиз. Ахборот-коммуникация тармоқларида алмашинадиган
электрон маълумотларнинг хавфсизлигини таъминлаш масаласи муҳим аҳамиятга эга
ҳисобланади. Ахборотларнинг бутунлиги, конфиденциаллигини ва хақиқийлигини
таъминлашда криптографиянинг роли беқиёсдир. Бу соҳада Ўзбекистон Республикаси
Президенти И. А. Каримовнинг
2007 йил 3 апрелда қабул қилган «Ўзбекистон
Республикасида ахборотнинг криптографик ҳимоясини ташкил этиш чора-тадбирлари
тўғрисидаги» ПҚ-614–сонли қарорини келтиришимиз мумкин. Ахборот-коммуникация
тармоқларида узатиладиган ахборотларнинг конфиденциаллигини таъминлаш учун
симметрик шифрлаш алгоритмларидан фойдаланиш жуда мухимдир.
Бугунги даврда криптографик тизимлар иккита синфга бўлинади: симметрик ва
носимметрик криптотизимлар. Ўз навбатида симметрик криптотизимлар милоддан
аввалги даврлардан маълум бўлиб, улар
 оқимли
 блокли шифр турларига бўлинади.
Ахборот узатиш ва сақлаш жараёнларининг рақамлаштирилиши узлукли (нутқ) ва
узлуксиз (матн, факс, телекс, тасвир, анимация) ахборотларни муҳофазалаш учун ягона
алгоритмлардан фойдаланиш имконини беради.
Ўзбекистон Республикаси коммуникацион тизимларида фойдаланишда бўлган
оқимли шифрлар асосан хориждан харид қилинган коммуникация воситаларида
фойдаланилади. Оқимли шифрларнинг криптобардошлилиги хавфсизлик талабларига
жавоб беради. Ўзбекистон Республикасида фойдаланишда бўлган блокли шифрларга O‘z
DSt 1105:2009 ва ҳамдўстлик мамлакатлари учун собиқ Cовет Иттифоқи давридан мерос
бўлиб қолган ГОСТ 28147-89 киради.
Симметрик блокли шифрлаш алгоритмлари бир нечта босқичлардан (раундлардан)
иборат бўлиб, ҳар бир раунд аралаштирувчи ва тарқатувчи акслантиришлардан тузилган.
Бундай асосда тузилиш тамойили, ҳар бир раунд шифрлаш жараёнини ҳар хил калитлар
билан бир хил турдаги акслантиришларни амалга оширишга, ҳамда, дешифрлаш
жараёнини раунд акслантиришлари ва калитларини тескари тартибда қўллашнинг
самарали
имконини беради. Алгоритм асосини ташкил этувчи, раунд шифрлаш
жараёнини амалга оширувчи, аралаштириш ва тарқатиш хусусиятларига эга бўлган
функциялар асосий акслатиришлар дейилади. Асосий акслантиришларнинг аппараттехник жиҳатдан қулай қўлланиш модели сифатида тескари боғлиқликка эга бўлган
77
силжитиш регистларини келтириш мумкин. Бунда тарқатувчи акслантириш тескари
боғлиқликни таъминловчи функция билан, аралаштирувчи акслантириш эса, регистрдаги
маълумотларни силжитиш билан амалга оширилади.
Шифрланиши керак бўлган маълумот блокини силжитиш регистрларига киритиб
(юклаб), регистрдаги маълумотни шартли равишда чап ва ўнг қисмблок векторларига
бўлиб, улар устида ҳар хил калитлар билан бир хил турдаги акслантиришларни босқичмабосқич амалга оширишга асосланган – Фейстел тармоғи деб аталувчи шифрлаш жараёни
функционал қурилмасига асосланган алгоритмлар кенг тарқалган.
Фейстел тармоғининг қўлланиши кўпгина симметрик блокли шифрлаш
алгоритмларида учрайди. Бу криптоалгоритмларга мисол қилиб FEAL, LOCI, Khufu,
Khafre Blowfish, Lucifer, CAST, шунингдек, DES, ГОСТ 28147-89 каби стандарт
алгоритмларни келтириш мумкин Фейстел тармоғи ғояси қуйидагича ифодаланади.
Шифрланадиган блок иккита L0 , R0 қисмларга ажратилади. Фейстел тармоғи i  раунди
итератив блокли шифрлаш алмаштириши қуйидаги схема бўйича аниқланади:
Li1
Ri 1
F ( Ri 1 , K i )
Li  Ri 1
Ki
Ri  Li 1  F ( Ri 1 , K i )
Бу ерда X i  Li1 , Ri 1   i -раунд учун Li 1 ва Ri 1 қисмларга ажратилган кирувчи
маълумот, Yi  Li , Ri  эса X i ни i  раунд калити K i билан F акслантириш натижасида
ҳосил бўлган шифрмаъалумот.
Бундан ташқари блокли шифрлаш алгоритмлари SPN тармоғига ва АРАЛАШ
тармоқга асосланган бўлиши мумкин. Бу кўринишдаги алгоритмлари ичида AES FIPS 197
алгоритми энг машҳуридир.
AES FIPS 197 блокли шифрлаш алгоритмида 8 ва 32-битли (1-байтли ва 4-байтли)
векторлар устида амаллар бажарилади. AES FIPS 197 шифрлаш алгоритми XXI асрнинг
энг барқарор шифрлаш алгоритми деб ҳисобланади. Бу алгоритм бошқа мавжуд стандарт
симметрик шифрлаш алгоритмларидан фарқли ўлароқ, Фейстел тармоғига асосланмаган
блокли шифрлаш алгоритмлари қаторига киради. Блокли шифрлаш алгоритмлари
бардошлиги жиҳатидан юқори кўрсаткичли алгоритмлар хисобланади.
Хулоса қилиб айтадиган бўлсак, бугунги кунда ахборот хавфсизлигини таъминлаш
жамиятнинг барча соҳаларида муҳим вазифалардан бири, бунда бардошли ва юқори
тезликга эга алгоритмлар яратиш ва борларини мукаммаллаштириш мутахассисларнинг
энг асосий мақсадидир.
7 ПРАВИЛ ИНФОРМАЦИОННОЙ БЕЗОПАСНОСТИ
Павел Сотников, управляющий директор по региону восточная Европа, Кавказ,
Центральная Азия Qualys Inc.
Тезисы доклада
78
Мы, как специалисты по защите информации, отвечаем за безопасность огромных
инфраструктур, в которые входят десктопы и ноутбуки, серверы, сетевые устройства,
принтеры и т.д. Существующую инфраструктуру организаций поддерживает различные
профильные специалисты, мы же должны понимать риски и угрозы для всех систем и во
всех случаях. Не самая лёгкая задача!
С другой стороны есть нарушители: внутренние и внешние, которые в свою
очередь стараются тем или иным образом навредить организации.
Мы начинаем внедрять различные системы, закрывающие отдельные каналы
утечек: DLP, межсетевые экраны, SIEM системы и т.д. и т.п. И теперь мы вынуждены ещё
и управлять своим парком систем безопасности…
Как же действительно защититься от нарушителей и обеспечить безопасность
активов?
В своём докладе, на основании 10 летнего опыта работы в сфере защиты
информации, я попытался сформулировать 7 правил, которыми следует
руководствоваться при организации защиты информации в организации. Также я
расскажу о возможных подводных камнях различных подходов и возможных решениях
возникающих проблем. В заключении я расскажу о системе QualysGuard, которая
позволит автоматизировать часть ваших процессов по ИБ и снять с Вас часть рутинной
нагрузки.
Итак, 7 правил:
1.
Выясните, что наиболее важно для вашей организации
Для различных организаций могут быть важны разные вещи: непрерывность
работы сайта, конфиденциальность информации о новом изобретении, целостность
записей о финансовых транзакциях. Только поняв, что действительно важно, вы
сможете
действительно
принести
пользу
своим
компаниям.
Если важны данные, то надо понимать, какие данные и где они хранятся.
2.
Знайте и понимайте своих врагов
Вы должны понимать от кого вы защищаетесь, от этого будут зависеть
меры, которые вы будете внедрять. Не обязательно досконально понимать
мотивацию и структуру нарушителей, важно точно знать векторы возможных атак,
что от вас хотят получить злоумышленники.
3.
Вы не можете контролировать угрозы, вы можете
контролировать уязвимости
Вы не можете контролировать угрозы, потому что не знаете, какие могут
быть угрозы! Вы можете проводить систематическую работу по поиску и
устранению уязвимостей/рисков. Уязвимость в данном случае не
только
техническая уязвимость, но и уязвимость в процессах, орг.структуре, правилах…
4.
Идентификация рисков без их устранения имеет нулевой эффект
Если вы знаете о своих проблемах, но ничего не делаете – это бесполезно!
Более того, лучше устранять по одной проблеме в месяц, чем пытаться устранить
12 проблем разом. Есть старый проверенный принцип – начинайте с малого и по
мере появления результатов охватывайте всё больше процессов/задач/систем.
5.
Фокусируйтесь на процессах, а не отчётах
Построив процесс правильным образом вы можете целиком и полностью
исключить себя из него. Посредством этого Вы высвобождаете себе время для
решения действительно важных и, что самое главное, новых задач.
6.
Вы не можете сделать всё, принимайте риски
79
Обычно мы начинаем работу с того, что проводим GAP анализ и
приоритезируем задачи. Мы не можем сразу адресовать все проблемы, которые
надо решить. Приходится с чем-то мириться.
7.
Люди – ключевой элемент безопасности
Стройте отношения с коллегами в своей организации, другими
специалистами по ИБ, регуляторами. Это не только позволит Вам оперативно
решать свои задачи, но и быть в курсе последних событий и технологий по ЗИ.
Испортив единожды отношения с серверным администратором, например, вы
можете поставить под угрозу всю свою компанию по патчингу серверов.
Использую указанные принципы можно в достаточной степени структурировать
свою работу и действительно улучшить ситуацию с точки зрения информационной
безопасности.
QualysGuard позволяет автоматизировать ряд ключевых процессов по ИБ, таких
как управление уязвимостями и соответствием требованиям на сайтах и внутренней
инфраструктуре организации.
Проблематика защиты конфиденциальных данных от утечки.
Докладчик - Александр Клиентов, технический консультант Symantec.
Введение
На фоне стремительно развивающихся информационных технологий, их
повсеместного вовлечения в жизнь общества, работу государственных органов, различных
финансовых структур, здравоохранительных и образовательных учреждений и т. д., в
геометрической прогрессии растут и объемы хранимой и обрабатываемой цифровой
информации.
Персональные данные, научно-исследовательские разработки, программный код,
различная финансовая информация — вот лишь краткий перечень того, что может
храниться в цифровом виде и являться при этом важнейшими информационными
активами организации. Соответственно, актуальнейшей проблемой становится
предотвращение случайной или намеренной утечки конфиденциальных данных. Помочь в
этом могут специализированные решения класса Data Loss Prevention (DLP),
предназначенные для проверки содержимого хранимых и перемещаемых данных и
способные должным образом реагировать в случае обнаружения конфиденциальной
информации, например, отправляя уведомления по электронной почте или блокируя
передачу данных.
В то же время, несмотря на явно возросший интерес к данной проблеме, многие
руководители, интересующиеся этим вопросом, не делают дальнейших шагов по
приобретению и внедрению DLP, хотя необходимость в этом для них очевидна. Это
связано со множеством факторов организационного, финансового и технического
характера.
С чего начать?
Для начала стоит определиться, действительно ли вашей организации нужна
система DLP и готовы ли вы к ее внедрению? Здесь неприменим подход «сначала купим,
потом разберемся». Прежде чем прорабатывать вопрос о приобретении и внедрении
какого-либо решения DLP, и даже до проведения пилотного проекта DLP, необходимо
80
тщательно, всесторонне все обдумать. Как минимум, можно ответить на несколько
простых, однако далеко не для всех руководителей очевидных вопросов:
• Имеется ли в организации конфиденциальная информация, подлежащая защите?
• Проведена ли в организации классификация информации?
• Разработана ли в организации концепция информационной безопасности?
• Какова вероятность утечки конфиденциальной информации?
• Каков возможный ущерб?
• Готово ли руководство организации к жестким мерам для предотвращения утечек
данных и в случае обнаружения таковых?
Все перечисленное выше является просто набором рекомендаций, выработанных
на основе практического опыта нашей компании, опыта специалистов компанийпроизводителей решений DLP и мнений независимых экспертов. Чисто технически ничто
не мешает просто купить и внедрить выбранное решение DLP, без проведения
подготовительных мероприятий и учета данных рекомендаций, однако эффективность
системы, введенной в эксплуатацию таким образом, наверняка будет невысокой.
Пилотный проект
Пилотный проект в значительной мере облегчает выбор конкретного решения DLP.
В рамках пилотного проекта организация может бесплатно проверить работу системы
DLP в реальных условиях своей ИТ-инфраструктуры. Перед запуском пилотного проекта
в первую очередь необходимо определить цели и задачи проекта. Это ключевой момент,
поскольку без ясно обозначенных целей и четко поставленных задач по завершении
проекта невозможно сделать обоснованные выводы о его результатах и максимум, что
руководитель сможет увидеть в итоговом отчете — интуитивные оценки администратора
системы из разряда «понравилось/не понравилось».
После определения целей и задач проекта необходимо уточнить его рамки, а также
выбрать технические каналы утечки данных, которые организация хочет контролировать.
Определение количества пользователей, рабочих станций, файловых и почтовых серверов,
каналов выхода в Интернет, участвующих в проекте, поможет выбрать нужные модули,
входящие в состав тестируемого решения. Например, если в организации отсутствуют
файловые сервера, базы данных, системы электронного документооборота, в которых
может храниться конфиденциальная информация, то отпадает необходимость в модулях,
обеспечивающих контроль хранилищ данных, что значительно сократит время,
потраченное на реализацию проекта и его сложность.
Что нужно иметь ввиду?
Чтобы не сделать ошибку при выборе решения DLP и остаться довольным этим
выбором, нужно учесть следующее:
Необходимо правильно понимать назначение систем DLP. Эти системы не решат
проблему утечки данных, а позволят лишь, при правильном использовании, снизить риски
утечки.
Системы DLP не относятся к классу «поставил и забыл». Предотвращение утечек
конфиденциальных данных — это непрерывный процесс, требующий постоянного
вмешательства со стороны владельцев данных и администраторов системы.
Нехватка опыта или ресурсов неизбежно скажется на результате. Решения DLP в
большинстве своем достаточно сложны в развертывании и эксплуатации и требуют
значительных временных затрат. Не стоит экономить на технической поддержке и
сопровождении, поскольку, переоценив свои силы, организация рискует остаться один на
один с возникшими проблемами.
КАЛИТЛАРНИ ТАҚСИМЛАШ АЛГОРИТМЛАРИНИНГ
КРИПТОБАРДОШЛИГИНИ БАҲОЛАШ
81
Нормуминов Фуркат Кувандикович, Насруллаев Нурбек Бахтиёрович ТАТУ, Турсунов
Миролим Аҳмадович ТАТУ
Ушбу тезисда ахборот хавфсизлигини ишончли таъминлашда калитларни
тақсимлаш алгоритмларининг криптобардошлигини баҳолашга қаратилган
Этот тезис направлен на оценку криптографической устойчивости алгоритмов
распределения ключей для надежней обеспечении информационной безопасности
Ахборот-коммуникация тизимида маълумотларни махфий ёки конфиденциал
алмашув жараёни учун криптографик тизимлар яратиш билан бир қаторда шу тизимда
калитлар бошқариш масаласини ишончли ҳал этиш муҳим ўрин тутади. Чунки танланган
криптотизим қанчалик мураккаб ва ишончли бўлмасин, ундан амалда фойдаланиш
жараёнлари калитларни бошқариш масаласи билан боғлиқдир. Агар маълумотларнинг
махфий алмашинуви оз сонли фойдаланувчилар билан бўлса, калитлар алмашинуви
жараёнида ноқулайликлар туғилмайди. Аммо ахборот-коммуникация тизимида
маълумотларнинг махфий алмашинуви юзлаб, минглаб ва ҳатто миллионлаб
фойдаланувчилар билан бўлса, калитларни бошқаришнинг ўзига хос алоҳида муҳим
масалалари келиб чиқади. Ҳозирги кунда ҳужжат алмашув тизимларида махфий шифрлаш
калитларини тақсимлаш учун Диффи-Хеллман усулидан фойдаланилади ва бу усулга
асосланган хорижий алгоритмлар ишлаб чиқилган. Ўзбекистон Республикасида эса
махфий шифрлаш калитларини тақсимлаш учун стандарт даражасидаги алгоритм ишлаб
чиқилмаган. Ўзбекистонда ҳам бу соҳада илмий изланишлар бошлаб юборилган. Шу
туфайли эллиптик эгри чизиқлардан фойдаланишга асосланган бардошлилиги оширилган
калитларини тақсимлаш алгоритмларини ишлаб чиқиш долзарб масаладир. Ушбу тезис
калитларни тақсимлаш алгоритмларининг криптобардошлигини баҳолашга қаратилган.
Криптографияда калитларни тақсимлаш роли доимо асосий муаммолардан бири бўлиб
келган.
Мазкур ишда эллиптик эгри чизиқларга асосланган калитларни тақсимлаш
алгоритмларининг таҳлили ва тадқиқини амалга ошириш натижасида параметрлар
алгебрасига асосланиб ишлаб чиқилган калитлар тақсимлаш алгоритмининг
бардошлилиги ҳақида сўз боради.
Шу туфайли мазкур тезис криптографик бардошлиги юқори бўлган эллиптик эгри
чизиқларга асосланган калитларни тақсимлаш алгоритмларининг криптобардошлигини
баҳолашга қаратилган. Қуйидаги жадвалда калитларни тақсимлаш алгоритмларининг
қиёсий таҳлиллари келтириб ўтилган:
1-жадвал
Калитларни
Махфий
Параметр
Криптобардошлик
тақсимлаш
параметрлар
қийматлари (бит)
алгоритмлари
Классик ДиффиI =2847
Махфий калит х
512
Хеллман
бу ерда
Iх =280,
82
Параметрли ДиффиХеллман
Махфий калит х,
параметр R,
512,
512
Эллиптик эгри
чизиқли ДиффиХеллман
Параметрга
асосланган
эллиптик эгри
чизиқли ДиффиХеллман
(ПАЭЭЧДХ)
Махфий калит d
Параметрлар
а, В
512 (q=512,
бу ерда q –
бошланғич
нуқтанинг тартиб
рақами)
512, 512
Махфий калит d
512,
Параметрлар
R, а, В
512, 512, 512,
I =2847
бу ерда
Iх =280,
IR =2512
Id =21027
q = p4/
бу ерда
Iа =2512,
IВ =2512
I =21167
бу ерда
Iх =280,
IR =2512, Iа =2512,
IВ =2512,
1-жадвалдан кўриниб турибдики, параметрга асосланган эллиптик эгри чизиқли
Диффи-Хеллман калит тақсимлаш алгоритми бардошлилиги I =21167 га тенг бўлиб, бошқа
муаммоларга нисбатан юқори бардошли ҳисобланади. ПАЭЭЧДХ калитларни тақсимлаш
алгоритмларидан миллий электрон ҳужжат айланиш тизимларида фойдаланиш уларнинг
муҳофазасини оширишга хизмат қилади. Бундан ташқари бу алгоритмдан кичик
хотирадаги аппарат ва аппарат-дастурий воситаларда тезкор калитларни тақсимлашда
фойдаланиш яхши ютуқларга олиб келади. ПАЭЭЧДХ калитларни тақсимлаш
алгоритмлари ҳимояланмаган телекоммуникация тармоқларида калитларни хавфсиз,
тезкор ҳамда криптобордош тарзда етказиб беришни таъминлайди. Бу алгоритм орқали
хавфсиз, ҳимояланган алоқа канналари ва тизимларни ҳосил қилишда тезкорлиги,
самарадорлиги ва криптобардошлигини кескин даражада кўтариш имкониятига ега
бўламиз. Бундан келиб чиқиб, ПАЭЭЧДХ калитларни тақсимлаш алгоритми ҳозирги
замон талабларига тўлиқ жавоб бера оладиган тизимларни қуришда фойдаланиш мақсадга
мувофиқ ҳисобланади. Параметрга асосланган эллиптик эгри чизиқли Диффи-Хеллман
протоколининг дастурий ишлаш принципи қуйидаги расмда келтирилган.
83
ПЭЭЧли Диффи-Хеллман алгоритмлари классик Диффи-Хеллман алгоритмига
нисбатан юқори даражадаги криптобардошликка эга. Яъни ҳисоблаш жараёнлари калит
алмашиш жараёнидан олдин бажарилганлиги ва қўшимча махфий параметрлар эвазига
ПЭЭЧ алгоритми бошқа алгоритмларга
нисбатан
криптобардошлиги баланд
ҳисобланади.Шуларни инобатга олган ҳолда мазкур алгоритмдан миллий тизимлар ишлаб
чиқишда фойдаланиш мақсадга мувофиқ.
УГРОЗЫ 2013 ПО ВЕРСИИ WEBSENSELABS
Мидхат Семирханов, территориальный менеджер по СНГ и России Websense.
Основные тенденции.
Веб-угрозы становятся всё более опасными.
Кража или утечка данных. Данные инциденты показывают рост, особенно
чувствительны к ним – персональные данные и интеллектуальная собственность.
Тренды за 2012 год.
За прошлый год до 85% вредоносных ссылок было обнаружено на совершенно
законных, легальных сайтах, которые были скомпрометированы. Акценты
уполномоченных специалистов должны смещаться в сторону постоянного контроля
целостности размещенной на сайте информации.
Киберпреступники в полной мере используют особенности законодательства и
контроля в разных странах, размещая сайты в одних странах, рассылая спам из других и
управляя серверами с адресов третьих стран, что очень затрудняет розыск
злоумышленников и расследование преступлений.
84
До трети всех вредоносных ссылок были замаскированы через сервисы
укороченных URL.
Рост мобильных устройств и приложений к ним, а особенно простота установки
даже неквалифицированным пользователем открывают новые горизонты угроз. Зачастую
даже прошедшие формальную проверку приложения могут содержать потенциально
опасные компоненты, как-то отправка СМС, установка программ без ведома
пользователя.
Изменилась специфика пользования мобильных устройств, пользователи проводят
в интернете или социальных сетях в полтора раза больше времени, чем на совершение
телефонных звонков.
Особенностью спама стала тенденция включения ссылок на опасные сайты, до 92%
писем, отмеченных как спам, содержат ссылки на внешние ресурсы, проконтролировать
которые значительно труднее.
Изменилась особенность вирусов и зловредных программ, им теперь значительно
проще маскироваться в потоке данных от мессенджеров, социальных приложений и
используют те же протоколы.
Выводы
Для защиты от веб-угроз нужна непрерывная технологии обеспечения
информационной безопасности.
Угрозу теперь представляют и исходящие, и входящие потоки информации.
Основные этапы реализации угроз и хищения данных: Рекогносцировка,
любопытство пользователей, перенаправление (сокрытие) url, применение наборов
эксплоитов, запутывание антивирусного ПО, обратная связь зловредного ПО с
создателем, кража данных.
Источник статистических данных – отчет The Websense 2013 Threat Report
ЭЛЕКТРОН РАҚАМЛИ ИМЗО АЛГОРИТМЛАРИ БАРДОШЛИЛИГИ
МУАММОСИ
М.Х. Исманова. Тошкент, ТАТУ магистранти
Ахборот-коммуникация технологияларидан самарали ва унумли фойдаланиш
бугунги куннинг муҳим талабларидан биридир. Шунинг учун ҳам XXI аср - ахборот асри
деб айтилмоқда. Ахборот-коммуникация технологияларидан иқтисодиётда кенг
фойдаланиш
амалга
оширилаётган
ислоҳотларнинг,
ўзгаришларнинг
бош
йўналишларидан ҳисобланади.
Интернет тармоғи ривожлана боргани сари, ахборот ўғирлаш, мазмунини бузиш,
рухсатсиз ахборотни ўзгартириш, компьютер технологияларидан изнсиз фойдаланиш,
тармоқдаги серверларга тажовуз қилиш, турли ноқонуний йўллар билан ахборотларни
узатиш ҳолатлари кун сайин кўпайиб бормоқда. Натижада, ахборот хавфсизлигига
жиддий эътибор қаратиш лозим бўлмоқда.
Ахборотларни ҳимоялашда биринчи навбатда энг кенг қўлланилган дастурий
воситалар ҳозирги кунда иккинчи даражали ҳимоя воситаси ҳисобланади. Бунга мисол
сифатида пароль тизимини келтириш мумкин. Ахборот ҳавфсизлигини таъминлашнинг
энг ишончли усули криптография усули ҳисобланади. Криптография йўнилишига
мустақилликка эришгандан сўнг катта аҳамият берила бошлади. Республикада
криптография йўналишида дастлабки илмий тадқиқот ишлари 1999 йилда алоқа ва
ахборотлаштириш агентлигига қарашли Фан-техника ва маркетинг тадқиқотлари
марказида, ҳозирги UNICON.UZ давлат унитар корхонасида бошланган. Ўзбекистон
85
Республикаси қонунларини амалиётга жорий этиш мақсадида марказда криптография
илмий тадқиқот бўлими ташкил қилинган. Бўлимда Ўзбекистонда хизмат кўрсатган фан
арбоби, т.ф.д., профессор П.Ф. Хасанов илмий раҳбарлигида криптография соҳасидаги
дастлабки давлат стандартлари ишлаб чиқилди. Ушбу йўналишни ривожлантиришга
давлатимиз томонидан ҳам катта аҳамият берилмокда. Шунга кейинги йилларда қабул
қилинган бир нечта қонун ва меъёрий ҳужжатлар, жумладан, “Электрон рақамли имзо”,
“Электрон ҳужжат айланиши” тўғрисидаги қонунлар, Президентимизнинг 2007 йил 3
апрелда қабул қилган “Ўзбекистон Республикасида ахборотнинг криптографик ҳимоясини
ташкил этиш чора-тадбирлари” тўғрисидаги қарори мисол бўлиши мумкин.
Корпоратив ва глобал тармоқларда электрон ҳужжат айланишида ахборот
хавфсизлигини таъминлайдиган энг самарали йўллардан бири электрон рақамли имзодир.
Электрон рақамли имзо орқали электрон ҳужжат бирор кимсага юборилганда, электрон
ҳужжат ким томондан яратилгани аниқ бўлади, ҳужжат бутунлиги сақланади ва
ноқонуний ўзгартирилишининг олди олинади.
ЭРИ — электрон ҳужжатдаги мазкур электрон ҳужжат ахборотини ЭРИ ёпиқ
калитидан фойдаланган ҳолда махсус ўзгартириш натижасида ҳосил қилинган ҳамда ЭРИ
очиқ калити ёрдамида электрон ҳужжатдаги ахборотда хатолик йўқлигини аниқлаш ва
ЭРИ ёпиқ калитининг эгасини идентификация қилиш имкониятини берадиган имзодир.
Электрон рақамли имзо бу электрон ҳужжатда ёритилган у ёки бу маълумотларда
хатолик йўқлигини аниқлаш ва электрон рақамли имзо эгасини идентификация қилиш
имконини беради ҳамда анъанавий қўлда қўйилган имзо билан бир хил кучга эга.
Ахборот тизимларида электрон рақамли имзо технологияларидан фойдаланиш бир
қанча муаммоларни ҳал этади, яъни:
 электрон ҳужжатга юридик мақом беришни таъминлайди;
 корпоратив тармоқ орқали иш юритиш жараёнида ҳужжат ижрочиларининг рад эта
олмаслигини таъминлайди;
 ахборот интернет тармоқлари орқали ошкора юборилганда унинг бутунлиги ва
конфеденциаллиги таъминланади.
Шунингдек, ЭРИ корхона ва савдо-сотиққа оид ташкилотларда ҳисоботларни
электрон кўринишда топширишда, электрон ҳужжатга юридик мақомини беришда катта
аҳамиятга эга.
Маълумки, ҳозирда солиқ ҳисоботларини электрон усулда Интернет орқали
жўнатиш кенг йўлга қўйилган ва амалиётда ўз самарасини бермоқда. Бундан ташқари,
жорий йилнинг феврал ойидан бошлаб давлат статистика ҳисоботларини электрон
кўринишда электрон рақамли имзо билан тасдиқлаган ҳолда Интернетдан юбориш тизими
жорий этилган.
Турли ЭРИ алгоритмларини шакллантириш ва унинг ҳақиқийлигини текшириш
амаллари уларнинг математик функциялари орқали фарқланади.
Носимметрик алгоритмлар ҳисоблаш масалалари мураккаблиги бўйича бир неча
муаммоларга бўлинади.
 Сонларни туб кўпайтувчиларга ажратиш (факторизация) муаммоси.
 Дискрет логарифм муаммосига асосланган алгоритмлар.
 Эллиптик эгри чизиқларга асосланган алгоритмлар.
 Диффи-Хэллман муаммоси.
 Илдиздан чиқариш муаммоси.
 Параметрли алгебра муаммоси ва бошқалар.
Факторлаш муаммосига асосланган алгоритмларга RSA, ESIGN, Ong-Schnorr-Shamir,
PGP, RPK алгоритмлари киради. Бугунги кунда RSA ва ESIGN каби ЭРИ алгоритмлари
энг кўп қўлланилади. RSA алгоритмининг хавфсизлик даражаси катта сонларни
кўпайтувчиларга ажратиш мураккаблигига асосланади. Ушбу алгоритм ошкора модул n
икки туб соннинг кўпайтмаси бўлиб, кўпайтувчилар сир тутилади (n=pq(mod m)). Бу туб
фактор (кўпайтувчи)ларни n бўйича топиш, яъни факторлаштириш муаммоси ечиш ўта
86
мураккаб муаммолар сирасига кириши криптотизимнинг юқори бардошлилигини
таъминлайди.
Ҳозирги кунда факторлаш муаммосига асосланган алгоритмлардан фойдаланилганда
1024 битлидан юқориси фойдаланилади.
Дискрет логарифм муаммоси факторлаш муаммосидан мураккаб масала
ҳисобланади. Дискрет логарифм муаммосида махфий даража кўрсаткичи топилиши талаб
этилади. Дискрет логарифм муаммосининг ифодаси қуйидагича:
бу ерда у,а, n – очиқ калит, х – ёпиқ калит
Дискрет логарифм муаммосига асосланган алгоритмлардан фойдаланилганда 530
битдан юқори бўлган калитлардан фойдаланиш ҳозирги кунда зарурий бардошлиликни
таъминлаб бера олади. Дискрет логарифм муаммосига асосланган алгоритмлардан Тоҳир
Ал Жамол алгоритми машҳур ҳисобланади. Тоҳир Ал Жамол алгоритмидан кейин Шнорр
алгоритмлари, DSA, ГОСТ 34.10-94 алгоритмлари ишлаб чиқилиб, стандарт даражасида
қабул қилинган. Шнорр алгоритми ғоясининг энг муҳим ҳусусияти унда иккита туб модул
p ва q лардан қўлланилганидир. Иккита туб модулнинг қўлланилиши электрон рақамли
имзо узунлигининг қисқаришига олиб келади. Бунинг натижасида вақт кам сарфланади.
Ҳозирги вақтда энг мураккаб ҳисобланган эллиптик эгри чизиқли дискрет логарифм
муаммосига асосланган ЭРИ алгоритмларидан кенг фойдаланилмоқда. Эллиптик
криптографиянинг афзаллик тарафи шундаки, айни пайтда эллиптик эгри чизиқлар
нуқталари гурухида дискрет логарифмлаш масалалари ечимлари учун субэкспоненциал
алгоритмлар мавжуд эмас.
Бу муаммога асосланган алгоритмларнинг энг машхурлари ГОСТ 34.10-2001,
ECDSA ЭРИ алгоритмларидир. ECDSA алгоритмида калит ўлчамини ошириш билан имзо
шакллантириш сезиларли даражада тезроқ амалга оширилади, имзо ҳақиқийлигини
тасдиқлаш эса анча секинроқ бўлади.
Ҳозирги кундаги мураккаблик даражаси юқори бўлган криптографик муаммолардан
бири бу параметрлар алгебрасидир. Ўзбекистонлик олимлар томонидан ишлаб чиқилган
O’zDSt 1092:2009 стандарти шу муаммога асосланади [4]. Унда модул арифметикасининг
яшириш йўлли янги бир томонлама функцияси қўлланилади. O’zDSt 1092:2009да
электрон рақамли имзони шакллантириш жараёнига электрон рақамли имзонинг
ҳақиқийлигини тасдиқлаш жараёнида қўлланиладиган сеанс калити тартиботини киритиш
билан электрон рақамли имзонинг сохталигини аниқлаш назарда тутилади.
Параметрли алгебра муаммоси дискрет логарифм муаммосига ўхшаш бўлиб, унда
мураккаблик R параметр ҳисобига оширилган. Бу функция қуйидагича кўринишда
ифодаланади.
– параметрли даражага ошириш амали ҳисобланади. Параметрли кўпайтириш
ифодаси қуйидагича ифодаланади.
бу ерда
параметрли кўпайтириш амали.
Хулоса қилиб шуни айтиш мумкинки, эллиптик эгри чизиқли дискрет логарифм
муаммосининг мураккаблигига асосланган ЭРИ алгоритмларининг афзаллик томонлари
қисқа калитлар қўлланиланилиши ҳисобига уларнинг тезкорлигида бўлса, параметрли
алгебрага асосланган ЭРИ алгоритмларининг афзаллиги - янги биртомонлама функцияни
қўллаш ҳисобига криптобардошликнинг юқори бўлишидир. Параметрли алгебрага
асосланган ЭРИни қалбакилаштирилганда уни аниқлаш механизмини аниқлаш имкони
мавжудлиги натижасида қалбакилаштирилган ҳужжатнинг қўлланилишига чек қўйилади.
СИММЕТРИК ШИФРЛАШ АЛГОРИТМЛАРИНИНГ
БАРДОШЛИЛИГИНИ ОШИРИШ УСУЛЛАРИ
87
Холиқов Элдор Зафарович ТАТУ 2-курс магистранти
Ахборотни муҳофаза қилиш масалалари билан КРИПТОГРАФИЯ фани
шуғулланади. Кейинги охириги йилларда криптология йўналишини ривожлантиришга
давлатимиз томонидан катта аҳамият берилмоқда. Ўзбекистон Республикаси Президенти
И. А. Каримовнинг 2007 йил 3 апрелда қабул қилган «Ўзбекистон Республикасида
ахборотнинг криптографик ҳимоясини ташкил этиш чора-тадбирлари тўғрисидаги» ПҚ614–сонли қарори ва 2003-2004 йилларда қабул қилинган «Электрон ҳужжат айланиши
тўғрисида»ги, «Электрон рақамли имзо тўғрисида»ги, «Электрон тижорат тўғрисида»
қонунлари шулар жумласидандир.
Қолаверса яқиндагина Республикамизда «Ахборот хавфсизлигини таъминлаш» ва
«Электрон хукумат» марказларини ташкил қилиш тўғрисида қарор қабул қилинди.
Уларнинг амалий ижросини таъминлаш мақсадида O’z DSt 1092:2009, O’z DSt 1105:2009,
O’z DST 1106:2009 каби миллий стандартларимиз ҳамда E-KAЛИТ, E-XAT, E-ҲУЖЖАТ
миллий электрон тизимларимиз муҳим ўрин тутади.
Ахборот махфийлигини ва конфиденциаллигини таъминлашда криптографиянинг
симметрик шифрлаш усулидан кенг фойдаланилади.
Симметрик криптотизимларнинг илмий назарияси яратилиши ва амалиёти
ривожига илмий криптография асосчиси К. Шеннон,
.Н. Колмогоров ва формал
криптография намояндалари О. Керхгофф,
Ч. Беббидж, У. Фридман, Г. Вернам, Э.
Хеберн ва бошқалар катта ҳисса қўшган
Криптографлар орасида машҳур бўлган маълумотларни симметрик шифрлаш
алгоритмлари гуруҳига АҚШ давлат стандартлари – DES , AES, Россия Федерацияси
давлат стандарти ГОСТ 28147-89 , ва IDEA , FEALлар киради.
DES IBM фирмасининг бутун бир криптографлари гуруҳи томонидан ишлаб
чиқилган . Маълумотларни шифрлаш стандарти 1976 йил 23 ноябрда Миллий
Стандартлар Бюроси томонидан АҚШнинг давлат стандарти сифатида қабул қилинган ва
у 1977 йил июль ойидан 2000 йил октябрь ойигача рақамли маълумотларни шифрлаш
учун стандарт бўлиб хизмат қилган. Ҳозирги вақтда у фақат назарий аҳамиятга эга. DES
занжирсимон тузилмали мувозанатланган Фейстал тармоғи архитектурасига эга.
Шифрлаш алгоритмида шифрматннинг ҳар бир бити дастлабки матн ва калит барча
битларининг функцияси бўлади. Стандартда ўрнига қўйиш, ўрин алмаштириш ва 2 модуль
бўйича қўшиш амалларининг комбинациясидан фойдаланилади.
ГОСТ
28147-89 - собиқ Совет Иттифоқида ишлаб чиқилган DES каби
мувозанатланган Фейстал тармоғи архитектурали 64-бит блокли ва калит узунлиги 256
бит бўлган криптографик ўзгартириш алгоритмидир . Алгоритм босқичлари сони 32 га
тенг бўлса-да, у DESга нисбатан тезкордир.
Шифрматнни дастлабки матнга ўгириш ҳам худди дастлабки матнни шифрматнга
ўгириш каби бажарилади, фақат бунда калитлар кетма-кетлиги ўзгартирилади.
AES алгоритмида кириш ва чиқиш блоклари узунлиги 128 бит шифрлаш
калитининг узунлиги 128, 192 ёки 256 бит этиб белгиланди.
Шифрлашда қўлланиладиган барча алмаштиришлар ёйилиш ва тарқалиш
тамойилларини амалга оширишга қаратилган. Стандартда блок ва калитнинг узунлигига
боғлиқ равишда босқич (раунд)лар сони 10 дан 14 гача белгилаб қўйилди.
Шифрлаш процедураси босқич калитларини генерациялаш процедурасини ҳам,
босқичлар сонига мос узунликдаги шифрматнга ўгириш (дастлабки матнга ўгириш) учун
босқич калитларини юклашни ҳам ўз ичига олади. Шифрматнни дастлабки матнга ўгириш
амалларни инверсия (тескари) тарзида бажариш орқали амалга оширилади.
Мустақиллик йилларида республикамизда к риптография бўйича биринчи давлат
стандартлари ишлаб чиқилди. Шулардан бири
O’z DSt 1105:2009: “Ахборот
88
технологияси. АХБОРОТНИНГ КРИПТОГРАФИК МУҲОФАЗАСИ. Маълумотларни
шифрлаш алгоритми”, яъни МША электрон маълумотларни муҳофаза қилиш учун
мўлжалланган криптографик алгоритмни ифодалайди. МША - симметрик блокли шифр
бўлиб, ахборотни шифрматнга ўгириш ва дастлабки матнга ўгириш учун фойдаланилади.
МШАда модуль арифметикасининг диаматрицалар алгебрасидан фойдаланилади,
бунда ҳисоблашнинг қийинлик даражаси матрицалар алгебрасидаги сингари бажарилади .
Шифрматнга ўгириш ва дастлабки матнга ўгириш процедураларида
фойдаланиладиган диаматрицалар алгебрасининг асосий амали диаматрицани p модуль
бўйича диаматрицага тескарилаш амали ҳисобланади. Бу амалларда икки ўлчамли сеанс
калити массивининг махсус тузилмали 4х4 тартибли квадрат диаматрица билан акс
эттирилувчи қисмлари иштирок этади. Махсус тузилмали диаматрицанинг муҳим хоссаси
диаматрицанинг диааниқловчисини ҳисоблаш формуласининг соддалигидир, бу эса
диаматрицани тескарилаш шартларини текшириш ишларини соддалаштиради.
Махсус тузилмали диаматрицани тескарилаш шартларини текшириш МША
параметрларига қўйиладиган асосий талаб ҳисобланади. МШАда шунингдек бутун
сонларни параметрли кўпайтириш, тескарилаш ва даражага ошириш деб аталган
параметрли группа амалларидан ҳам фойдаланилади. МША белгилаб қўйилган икки хил 256 ва 512 бит узунликдаги калитлар ёрдамида амалга оширилади
Хулоса қилиб шуни айтиш мумкинки, электрон кўринишдаги маълумотлар сақлаш
ва алмашинув тизимлари хавфсизлик талабларига тўла жавоб бериши учун шифрлаш
алгоритмларидан фойдаланиш яхши самара беради. Айниқса криптобардошлиги юқори
симметрик алгоритмлардан фойдаланилганда маълумотлар базасидаги маълумотлар
шифрланган ҳолда сақланади ва бу фойдаланувчиларга кўплаб қулайликларни ва ишончли
химояни яратади.
ПРОБЛЕМЫ КАДРОВОГО ОБЕСПЕЧЕНИЯ ИНФОРМАЦИОННОЙ
БЕЗОПАСНОСТИ
Носиров Иброхим Нурмухамматович, Хакимжонова Хамидахон Хакимжоновна,
г.Ташкент
Аннотация
Востребованность специалистов в области обеспечения информационной
безопасности, сосредоточения усилий информационной безопасности, связанных с
обеспечением национальной безопасности, основных направлений и приоритетных
проблем в области информационной безопасности. Основные проблемы обеспечения
информационной безопасности: гуманитарные, научно-технические и кадровые.
В современных условиях информационная безопасность становится важнейшим
базовым элементом всей системы национальной безопасности государства. Обусловлено
это, прежде всего, быстро растущими технологическими возможностями современных
информационных систем, которые по своему влиянию на политику, хозяйственноэкономическую жизнь, духовно-идеологическую сферу и умонастроения людей стали в
настоящее время решающими и всеохватывающими.
89
Сегодня человечество вплотную подошло к рубежу, за которым начинается новый
этап его развития, получивший название «информационного общества».
Информационная сфера является одним из системообразующих факторов жизни
государства, что определяет исключительную важность вопросов, связанных с
формированием его информационной инфраструктуры, предполагающей интенсивное
развитие систем телекоммуникаций и связи, различных информационных систем,
технологий предоставления информационных услуг или, другими словами, индустрии
информатизации.
Вместе с тем глобальная информатизация общества чрезвычайно обострила
проблему обеспечения информационной безопасности государства, что определило
необходимость разработки соответствующей государственной политики в этой области.
Цели, задачи, принципы и основные направления обеспечения информационной
безопасности, определяющие основы такой политики, изложены в нормативных
документах информационной безопасности.
С целью сосредоточения усилий информационной безопасности, связанных с
обеспечением национальной безопасности, разработан перечни основных направлений и
приоритетных проблем в области информационной безопасности.
Эти документы отражают следующие основные проблемы обеспечения
безопасности:
гуманитарные проблемы обеспечения информационной безопасности;
научно-технические проблемы обеспечения информационной безопасности
(физико-математические, технические);
проблемы кадрового обеспечения информационной безопасности.
Решение гуманитарных проблем обеспечения информационной безопасности
предполагает:
формирование общеметодологических основ обеспечения информационной
безопасности, в том числе определение закономерностей развития информационной
сферы как системообразующего фактора жизни современного общества, формирование
информационной безопасности как междисциплинарной отрасли научного знания,
построение ее взаимоотношений с другими науками, разработку путей и способов
использования информационной сферы для решения основных социально-политических
задач на современном этапе, разработку и обоснование критериев и методик оценки
состояния информационной безопасности;
развитие правового обеспечения информационной безопасности, в том числе
правового регулирования, обеспечения и защиты интересов личности и общества в
информационной сфере, правового регулирования в области информационного
обеспечения государственной политики, правового обеспечения отечественной индустрии
информации и современных информационных технологий, правового обеспечения
безопасности информационных и телекоммуникационных систем, международноправового регулирования в области информационной безопасности;
обеспечение безопасности индивидуального, группового и массового сознания, в
том числе информационно-психологической безопасности личности и общества,
исследование места и роли проблем информационной безопасности в социальных
процессах современного общества.
Решение научно-технических проблем обеспечения информационной безопасности
предполагает:
определение путей развития современных информационных технологий,
отечественной индустрии средств информатизации, телекоммуникации и связи, в том
числе развития и совершенствования инфраструктуры единого информационного
пространства, обеспечения технологической независимости;
разработку эффективных способов защиты информационных ресурсов,
информационных и телекоммуникационных систем, в том числе развитие защищенных
90
информационно-телекоммуникационных технологий и информационного противоборства
в
информационно-телекоммуникационных
системах,
совершенствование
криптографических методов защиты информации, разработку вычислительных систем
высокой производительности и методов обработки информации, ориентированных на
решение криптографических задач, развитие подходов к защите сведений, составляющих
охраняемые законом тайны, от технических разведок.
Решение проблем кадрового обеспечения информационной безопасности
потребует:
разработки общеметодологических основ кадрового обеспечения информационной
безопасности, включающих разработку и исследование механизмов государственного
регулирования подготовки кадров в области информационной безопасности, анализ и
обоснование предметной области подготовки кадров в области информационной
безопасности как междисциплинарной отрасли научного знания, исследование путей
использования современных образовательных технологий в целях повышения
эффективности распространения знаний в области обеспечения информационной
безопасности, формирование научного и учебно-методического обеспечения непрерывной
подготовки кадров в области информационной безопасности;
создания системы организационного и нормативно-правового обеспечения
подготовки кадров в области информационной безопасности;
создания системы технологического обеспечения подготовки кадров в области
информационной безопасности, в том числе разработки методик, специальной и учебной
литературы, формирования эффективных механизмов использования современных
информационных технологий в образовательном процессе.
На сегодняшний день ТУИТ осуществляющих подготовку кадров по
информационной безопасности, имеется государственных образовательных стандартов и
разработанных на их базе основных образовательных программ.
Подобное положение не позволяет обеспечить реализацию информационной
безопасности и поэтому развитие гуманитарной составляющей системы обеспечения
информационной безопасности должно сегодня стать приоритетным направлением
приложения наших усилий.
В числе разработки проблем обеспечения информационной безопасности,
относящихся к гуманитарной составляющей, находится ТУИТ. Университет определен
головной организацией по научным проблемам обеспечения информационной
безопасности, имеющим гуманитарный характер.
На наш взгляд ТУИТ обладает необходимым потенциалом, чтобы стать ведущей
организацией в области проведения научных исследований и подготовки специалистов с
высшим образованием по всему спектру проблем информационной безопасности. Такая
постановка проблемы поддержана и главам государству.
Учитывая потребности в высококвалифицированных специалистах по
информационной безопасности, необходимо продолжить работу по созданию в ТУИТ
системы образования в данной области. Эта система по сути своей является
междисциплинарной, многоуровневой, поэтому при ее создании необходимо обеспечить
выполнение следующих принципов:
Все виды и формы обучения должны вестись под единым методическим
руководством.
Необходимо искать заказчиков и создавать условия для развития различных форм
обучения, включая:
обучение по специальностям блока 5330500;
обучение по новым специализациям внутри имеющихся специальностей;
обучение по новым военно-учетным специальностям;
обучение в магистратуре по информационной безопасности;
91
различные формы дополнительного образования (курсы повышения квалификации,
курсы переподготовки, дополнительная квалификация, второе высшее образование);
включение в учебный процесс различных факультетов блоков знаний по тем или
иным аспектам информационной безопасности (с помощью спец. курсов, спецсеминаров,
курсовых работ, дополнений к государственным стандартам образования и т.д.).
Общий принцип подготовки кадров в области информационной безопасности – это
подготовка специалистов на базе фундаментального (университетского) образования,
поскольку они в первую очередь должны быть специалистами в той или иной области,
чтобы затем на базе профессиональных знаний получить дополнительное образование в
сфере информационной безопасности.
Поэтому особое внимание должно быть уделено развитию магистратуры как
формы и этапа обучения в вузах. Специалисты, которые требуются сегодня, должны
иметь фундаментальное базовое образование, к которому дополнительно надо дать
«надстройку» в виде специализации по информационной безопасности. Например,
экономистам необходимо дополнительное образование по специальности «электронная
экономика», которое в полном объеме сегодня нельзя получить в рамках существующих
экономических специальностей, юристам необходима специализация в сфере правового
обеспечения безопасности информационных и телекоммуникационных систем, в
частности, в сфере компьютерной преступности, которая набирает темпы по всему миру
по мере становления информационного общества. Такие специализации можно
полноценно организовать, как представляется, на базе дополнительного образования
(например, магистерского уровня).
Востребованность специалистов в области обеспечения информационной
безопасности уже сегодня высока, а по мере вхождения Узбекистана в информационное
общество, без сомнения, будет увеличиваться. Чтобы отвечать требованиям времени,
необходимо продолжить развитие этой формы образования.
92
Приложение
Приоритетные проблемы в области информационной безопасности
Формулировка проблемы
Гуманитарные проблемы обеспечения информационной безопасности
Научно-технические проблемы обеспечения информационной
безопасности (физико-математические, технические)
Проблемы кадрового обеспечения информационной безопасности
Обоснование облика, структуры и путей реализации единой системы
подготовки кадров в области современных информационных технологий и
информационной безопасности
Обоснование структуры и функций Учебно-методического комплекса по
подготовке, повышению квалификации и переподготовке кадров в области
информационной безопасности
Разработка государственных образовательных стандартов
специальностям высшего профессионального образования
по
новым
Создание нормативно-правовой базы особого порядка лицензирования
образовательной деятельности в области информационной безопасности
Проблемы нормативно-правового обеспечения подготовки специалистов по
вопросам информационной безопасности в смежных областях
Развитие нормативной базы, направленной на сохранение интеллектуального
потенциала
государственных
вузов,
осуществляющих
подготовку
специалистов в области современных информационных технологий и
информационной безопасности
Разработка методика специальной и учебной литературы по специальностям
в области информационной безопасности, включая разработку учебных
пособий для подготовки специалистов в области криптографии
Разработка методика специальной и учебной литературы по изучению общих
вопросов информационной безопасности в специальностях, не отнесенных к
группе «Информационная безопасность»
Разработка базового мультимедийного учебно-методического комплекса по
подготовке специалистов в области информационной безопасности и
информационного противоборства
Разработка методика специальной и учебной литературы для курсов
переподготовки и повышения квалификации кадров в области
информационной безопасности
Программные
и
аппаратные
средства
реализации
информационных технологий в образовательном процессе
современных
Проблема использования в образовательном процессе деловых
специальных исследовательских игр по информационной безопасности
и
93
ЭЛЕКТРОН РАҚАМЛИ ИМЗОНИНГ АХБОРОТ ХАВФСИЗЛИГИНИ
ТАЪМИНЛАШДАГИ ЎРНИ
Собирова Д, Тошкент, “UNICON.UZ” ДУК 2-тоифали муҳандиси
Ушбу тезисда ахборот хавфсизлигини таъминловчи электрон рақамли имзоларнинг
таърифи келтирилган.
Ахборот ва телекоммуникация технологияларининг жадал ривожланиб кетиши
туфайли ахборот сақлаш ва уни узатиш бир онда юз бериб, тармоқ орқали маълумотлар
базаларига мурожаат қилиш имкониятлари жуда кенгайди. Ахборотдан самарали
фойдаланиш имкониятлари ахборот миқдорининг жадал суръатлар билан кўпайишига
олиб келди. Ахборот-коммуникация тармоғида алмашинадиган электрон ҳужжатли
маълумотлар ҳам қоғозли ҳужжат алмашинувидаги анъанавий шахсий имзо вазифасини
бажарувчи каби электрон рақамли имзо билан таъминланиб, электрон ҳужжат ва унинг
манбасини ҳақиқий ёки ҳақиқий эмаслигини аниқлаш масаласи ечимини ҳал этилишини
талаб этади.
ЭРИ электрон ҳужжатдаги мазкур электрон ҳужжат ахборотини электрон рақамли
имзонинг ёпиқ калитидан фойдаланган ҳолда махсус ўзгартириш натижасида ҳосил
қилинган ҳамда электрон рақамли имзонинг очиқ калити ёрдамида электрон ҳужжатдаги
ахборотда хатолик йўқлигини аниқлаш ва электрон рақамли имзо ёпиқ калитининг
эгасини идентификация қилиш имкониятини берадиган имзо ҳисобланади.
Электрон рақамли имзонинг умумий тан олинган схемаси учта жараённи ўз
ичига олади:

электрон рақамли имзо калитларини генерациялаш;
 электрон рақамли имзони шакллантириш;
 электрон рақамли имзони ҳақиқийлигини тасдиқлаш.
Хэш-функция
М
м
а
ъ
л
у
м Очиқ
о калит
т
Хэш-функция қиймати
Жўнатувчи
ёпиқ калити
орқали
имзолаш
Электрон рақамли имзо
Электрон рақамли
имзоли
маълумотлар
1-расм. ЭРИни шакллантириш жараёни
94
Электрон ҳужжатни ЭРИ билан шакллантириш жараёни 1-расмда келтирилган
бўлиб, аввал юборилувчи маълумотнинг хэш-функция қиймати ҳисобланади. Сўнгра
электрон рақамли имзо алгоритмига кўра жўнатувчи томон ёпиқ калити орқали маълумот
имзоланади.
ЭРИни текширишда жўнатувчи томон очиқ калити орқали ҳисобланган хэшфункция қиймати ва маълумот хэш-функция қийматлари солиштирилади. Қуйидаги
2-расмда ЭРИни текшириш жараёни келтирилган.
Электрон рақамли
имзоли
маълумотлар
М маълумот
Хэш-функция
Хэш-функция
қиймати
Электрон рақамли
имзо
Очиқ калит билан
расшифровка
қилиш
Хэш-функция
Агар тенглик
қиймати
бажарилса
имзо ҳақиқий
2-расм. ЭРИни текшириш жараёни
ЭРИ ахборот-коммуникация тармоғида электрон ҳужжат алмашинуви жараёнида
қуйидаги учта масалани ечиш имконини беради:
- электрон ҳужжат манбасининг ҳақиқийлигини аниқлаш;
- электрон ҳужжат яхлитлигини (ўзгармаганлигини) текшириш;
- электрон ҳужжатга рақамли имзо қўйган субъектни муаллифликдан бош
тортмаслигини таъминлаш.
ЭРИ имзоланган ахборот имзо қўйган шахсдан келганлигини тасдиқлайди, имзо
қўйган шахсга, имзоланган ахборот билан боғлиқ маъсулиятлардан бош тортиш имкони
йўқлиги, имзоланган ахборотнинг бутлигини кафолатлаш имконини бериши ва у
генерациялаш, электрон рақамли имзони шакллантириш, электрон рақамли имзони
ҳақиқийлигини тасдиқлаш каби учта жараённи ўз ичига олиши келтириб ўтилган.
Электрон рақамли имзо ва унинг афзалликлари ЭРИ ва анъанавий қўлда қўйилувчи
имзо хусусиятлари ўзаро солиштирилган ҳолда асосланди. Қўлёзма ва электрон
ҳужжатнинг қиёсий характеристикалари асосланди. Электрон рақамли имзо орқали
имзоланган ҳужжатларнинг зарурий ерга бир неча секунд мобайнида етказилиши унинг
асосий афзалликларидан бири ҳисобланиши ёритилди.
Республикамизда ҳозирги кунда электрон рақамли имзо қуйидаги соҳаларда кенг
қўлланилмоқда: Интернет банкинг, “SMS-TO’LOV” тизимида, масофавий электрон
ҳисоботларни топширишда, Давлат божхона қўмитаси тизимида, электрон ҳужжат
айланиш тизимида, ҳимояланган электрон хат айланиш тизимларида кенг
фойдаланилмоқда.
95
АХБОРОТ – КОММУНИКАЦИОН ТИЗИМЛАРДА ЭЛЕКТРОН РАКАМЛИ
ИМЗОДАН ФОЙДАЛАНИШ МУАММОСИ
Нурманов З.Т. (ТАТУ 2-курс магистранти)
XXI асрда ривожланиб бораётган ахборот технологиялари барча сохаларга кенг
тадбиқ қилинмоқда. Бугунги ва эртанги кунни уларсиз тасавур қилиб бўлмаслигини ҳеч
ким рад эта олмайди. Бугунги кунда химояланган электрон ахборот алмашиниш
тизимларини яратиш мухим масалалардан бири бўлиб хисобланади. Бундай тизимларни
яратишда катта эътиборни ахборот хавфсизлик муаммосига қаратилиши лозим.
Юртимизда ахборот хавфсизлиги муаммосига катта эътибор қаратилган. Фикримизнинг
исботи сифатида республикамизда қабул қилинган қарорларни келтириш мумкин:
Ўзбекистон Республикаси Президенти И. А. Каримовнинг 2007 йил 3 апрелда
қабул қилган «Ўзбекистон Республикасида ахборотнинг криптографик ҳимоясини ташкил
этиш чора-тадбирлари тўғрисидаги» ПҚ-614–сонли қарори ва «Электрон ҳужжат
айланиши тўғрисида»ги, «Электрон рақамли имзо тўғрисида»ги
Ўзбекистон
Республикаси Қонунлари шулар жумласидандир.
Мазкур қонунларнинг амалий ижроси сифатида O’z DSt 1092:2009 стандартини
келтиришимиз мумкин.
O’z DSt 1092:2009 стандарти айнан электрон ракамли имзо алгоритмларини яратиш ва
қўллаш чора-тадбирларига қаратилган, яьни :
Ахборот технологияси АХБОРОТНИНГ КРИПТОГРАФИК МУҲОФАЗАСИ
Электрон рақамли имзони шакллантириш ва текшириш жараёнлари деб аталади.
Ушбу стандарт умумий фойдаланишдаги муҳофазаланмаган телекоммуникация
каналлари орқали узатиладиган, берилган хабар (электрон ҳужжат) остига қўйилган
электрон рақамли имзо (ЭРИ)ни шакллантириш ва унинг ҳақиқийлигини тасдиқлаш учун
электрон рақамли имзо алгоритми (ЭРИА)ни белгилайди. Стандарт электрон рақамли
имзони шакллантириш ва унинг ҳақиқийлигини тасдиқлашда турли мақсадлар учун
мўлжалланган ахборотларни қайта ишлаш тизимларида қўллаш учун мўлжалланган.
Электрон ракамли имзонинг ўзи нима, ундан ахборот – коммуникацион тизимларда
қандай фойдаланилади? деган савол туғилиши табиий.
Электрон рақамли имзо ахборот-коммуникация тармоғида алмашинадиган ҳужжатли
маълумотлар ва уларнинг манбаларини ҳақиқий ёки ҳақиқий эмаслигини аниқлаш
масаласини, яъни маълумотлар аутентификацияси масаласининг ечимини таъминловчи
криптографик восита ҳисобланади.
Ахборот-коммуникация тармоғида алмашинадиган электрон ҳужжатли маълумотлар ҳам
қоғозли ҳужжат алмашинувидаги анъанавий шахсий имзо вазифасини бажарувчи каби
электрон рақамли имзо билан таъминланиб, электрон ҳужжат ва унинг манбасини
ҳақиқий ёки ҳақиқий эмаслигини аниқлаш масаласи ечимини ҳал этилишини талаб этади.
Электрон рақамли имзо алоқа тизимларида бир неча тур қоида бузилишларидан
муҳофаза қилинишни таъминлайди, яъни:
- фойдаланувчи (Б) томонидан қабул қилиб олинган электрон ҳужжатга қўйилган
рақамли имзонинг ҳақиқий ёки ҳақиқий эмаслигини фақат (A) - фойдаланувчининг очиқ
калити билан таъминланган шахсий калит фақат ўзидан бошқа шахсга маълум
бўлмаслиги, маълумотни фақат (A) - фойдаланувчи томонидан жўнатилганлигини рад
этиб бўлмайди;
- қонунбузар (рақиб томон) шахсий калитни билмаган ҳолда модификациялаш,
сохталаштириш, фаол модификациялаш, ниқоблаш ва бошқа шу каби алоқа тизими
қоидаларининг бузилишига имконият туғдирмайди; алоқа
тизимидан
фойдаланувчиларнинг ўзаро боғлиқ ҳолда иш юритиши муносабатидаги кўплаб
96
келишмовчиликларни бартараф этади ва бундай келишмовчиликлар келиб чиққанда
воситачисиз аниқлик киритиш имконияти туғилади.
ЭРИ ахборот-коммуникация тармоғида электрон ҳужжат алмашинуви жараёнида
қуйидаги учта масалани ечиш имконини беради:
- электрон ҳужжат манбасининг ҳақиқийлигини аниқлаш;
- электрон ҳужжат яхлитлигини (ўзгармаганлигини) текшириш;
- электрон ҳужжатга рақамли имзо қўйган субъектни муаллифликдан бош
тортмаслигини таъминлаш.
Ҳар қандай ЭРИ алгоритми иккита қисмдан иборат бўлади:
–
имзо қўйиш;
–
имзони текшириш.
1991 йилда АҚШдаги Стандартлар ва Технологиялар Миллий Институти DSA
рақамли имзо алгоритмининг стандартини DSS юқорида келтирилган Эль Гамал ва RSA
алгоритмлари асосида яратиб, фойдаланувчиларга таклиф этган.
RSA очиқ калитли шифрлаш алгоритми асосидаги электрон рақамли имзо.
Тизимнинг ҳар бир i - фойдаланувчиси ei , d i  - калитлар жуфтлигини яратади.
Бунинг учун етарли катта бўлган p ва q -туб сонлари олиниб (бу сонлар махфий
тутилади), n  pq -сони ва Эйлер функциясининг қиймати  n =  p  1q  1 ҳисобланади
(бу сон ҳам махфий тутилади). Сўнгра ei ,  n  1 шартни қаноатлантирувчи, яъни  n сони билан ўзаро туб бўлган e i -сон бўйича d i -сони ушбу ei d i  1mod  n формула
орқали ҳисобланади. Бу ( e i ; d i ) –жуфтликда e i - очиқ калит ва d i - махфий (шахсий) калит
деб эълон қилинади.
Шундан сўнг i -фойдаланувчидан j -фойдаланувчига шифрланган маълумотни
имзолаган ҳолда жўнатиши қуйидагича амалга оширилади:
e
1. Шифрлаш қоидаси: M j mod n  C , бу ерда M -очиқ маълумот, С – шифрланган
маълумот;
d
e d
2. Дешифрлаш қоидаси:
C j mod n  M j j mod n  M ;
d
3. ЭРИни ҳисоблаш:
H M  i mod n  Pi ,
бу ерда i -фойдаланувчининг Pi -имзоси М -маълумотнинг H M  - хэш функция
қиймати бўйича ҳисобланган;
e
ed
4. ЭРИни текшириш: Pi  i mod n  H M  i i mod n  H M  , агар H M   H M 1 
бўлса (бу ерда M 1 -дешифрланган маълумот), у ҳолда электрон ҳужжат ҳақиқий, акс
ҳолда ҳақиқий эмас, чунки хэш функция хоссасига кўра M  M1 бўлса, уларнинг хэш
қийматлари ҳам тенг бўлади.
5. Маълумотни махфий узатиш протоколи:
M  H M  
mod n  M  Pi  j mod n  C ;
6. Махфий узатилган маълумотни қабул қилиш протоколи:
dj
e d
C mod n  M  Pi  j j mod n  M  Pi , умуман қараганда дастлабки маълумот
di e j
e
ўзгартирилган бўлиши мумкин, шунинг учун
C j mod n  M 1  Pi бўлиб, натижада хэш
d
қиймат имзо бўйича ушбу ифода Pi  i mod n  H M  i i mod n  H M  билан ҳисобланади
e
ed
ва қабул қилиб олинган маълумотнинг хэш қиймати H M 1  бўлса, у ҳолда
H M   H M 1  бўлганда электрон ҳужжат ҳақиқий, аксинча бўлса, сохта ҳисобланади
Хулоса ўрнида айтиш мумкинки, электрон кўринишдаги маълумотлар алмашинув
тизимлари хавфсизлик талабларига тўла жавоб бериши учун электрон рақамли имзодан
фойдаланиш яхши самара беради. Айниқса, давлат тасаруффидаги ташкилотлар ва
юридик шахслар учун маълумотлар алмашишда вақт ва хавфсизлик муаммосини тез ва
97
арзон ҳал қилиш учун энг оқилона қарордир. Бу жараён E-ҲУЖЖАТ тизимларида ўз
тасдиғини топган.
МЕТОДЫ ОЦЕНИВАНИЯ УГРОЗ ИНФОРМАЦИОННОЙ БЕЗОПАСНОСТИ
Иргашева Д.Я., Гаипназаров Р.Т., Отахонов А.У. (Ташкент, ТУИТ)
Ушбу ишда ахборот хавфсизлиги таҳдидини баҳолаш факторлари ва баҳолашни
муаммолари кўриб чиқилган.
В данной работе рассмотрены факторы оценки и проблемы оценивании угроз
информационной безопасности.
Сложная и многогранная природа рассматриваемых объектов безопасности
компьютерные системы и информация в них, определяют огромное число факторов,
условий, которые составляют или могут составить угрозы безопасности.
Помимо идентификации и спецификации угроз важное значение для выбора и
обоснования защитных мер играет оценивание угроз, под которым понимается
формирование оценок идентифицированных и специфицированных угроз с точки зрения
потерь, ущерба, возможных от реализации соответствующих угроз.
Основными факторами оценки являются возможность реализации угрозы и
возможный ущерб от реализации угрозы. Общая схема оценки приведена на рисунке.
Обобщенная оценка
потерь
Итоговая оценка
Оценка вероятности
угрозы
Субъективная
оценка возможности
Возможность
реализации
УГРОЗА
Идентификация
воздействия угрозы
на объекты защиты
Оценка возможного
ущерба при
реализации угрозы
Оценка затрат на
средства защиты
Оценка возможного
ущерба
Оценка ценности
объекта
Объект угрозы
Рисунок. Общая схема оценивания угроз
Основными трудностями при оценивании угроз являются проблемы выбора шкал и
способов оценки по отмеченных факторам.
Естественным параметром и шкалой оценки возможности реализации угроз
является оценка вероятности их реализации. Природа некоторых видов угроз позволяет
вычислять эти вероятности на основе известных соответствующих физических
закономерностей, но все же в большинстве случаев построить и обосновать аналитические
соотношения для вычисления вероятностей реализации угроз не представляется
98
возможным. К примеру, на основе Пуассоновского распределения вероятности моторных
ошибок человека оператора при вводе информации с клавиатуры вероятность угрозы,
обусловленной данным фактором составляет 2*10 ... 4*10. Данная оценка дает
возможность определить важный параметр защитных мер, в частности, количество
символов пароля и количество попыток его набора, при котором в рамках задания
определенного уровня значимости ошибки 2-го рода (ошибка правильной
аутентификации) легальный пользователь войдет в систему.
В некоторых случаях возможен апостериорный подход, основанный на
накопленной статистике проявления соответствующей угрозы в данной или подобной
компьютерной системе (в подобных условиях). Оценки вероятности реализации угрозы
при этом вычисляются на основе методов статистических оценок.
Альтернативой аналитическому и статистическому подходу является метод
экспертных оценок, широко используемый для оценок сложных, неформализуемых
объектов.
Суть метода экспертных оценок заключается в том, что в качестве инструментария
оценок (в качестве измерительного прибора) выступают специалисты-эксперты, которые
на основе профессионального опыта, глубокого представления многокомпонентной
природы оцениваемых объектов, дают эвристические оценки по одному или группе
параметров.
В кратком изложении методика экспертных оценок включает следующие этапы.
1. Отбор экспертов (формальные и неформальные требования к специалистам
экспертам, метод «снежного кома», когда известного специалиста просят назвать других
ему известных специалистов, в свою очередь, опрашивают их, и т. д. когда множество
экспертов прекращает расширяться, на практике количество экспертов 10-12).
2. Выбор параметров, по которым оцениваются объекты (при этом определяются
сущностные параметры оценивания, которые должны выражать природу оцениваемых
объектов и быть независимыми друг от друга, определяются веса параметров).
3. Выбор шкал оценивания и методов экспертного шкалирования. Применяются
порядковые, ранговые шкалы, интервальные, абсолютные и др. шкалы. В качестве
методов шкалирования выступают ранжирование объектов по предпочтительности
выраженности
оцениваемого
параметра,
попарные
оценки
сравнительной
предпочтительности во всех возможных парах оцениваемых объектов, и
непосредственная оценка выраженности оцениваемого параметра.
4. Выбор и осуществление процедуры опроса экспертов.
5. Агрегирование оценок, анализ их устойчивости и согласованности,
осуществляемые на основе подходов, подобных методам обработки статистических
данных.
Следует отметить, что экспертные оценки, несмотря на их «субъективность» на
основе хорошо подобранных экспертных комиссии, правильно установленных методов
шкалирования и опроса, при соответствующей обработке дают результаты, действенность
которых многократно апробированы в крупных проектах и процедурах, не допускающих
другие, в особенности, аналитические и статистические подходы.
99
ПАРАЛЛЕЛ ҲИСОБЛАШ ТИЗИМИНИ ТАШКИЛ ЭТИШНИНГ
ЗАМОНАВИЙ УСУЛЛАРИ ВА УЛАРНИ АХБОРОТ ХАВФСИЗЛИГИ
МАСАЛАЛАРИГА ҚЎЛЛАШ ДОЛЗАРБЛИГИ
Имомов Элёрбек Мирзапўлатович, Тошкент ш.
Мазкур маърузада параллел ҳисоблаш тизимларини ташкил этишнинг замонавий
усуллари, параллел ҳисоблаш услуб ва технологиялари ҳамда уларни ахборот хафсизлиги
масалаларига қўллаш долзарблиги ҳақида ёритилган.
В докладе приведены современные методы организации систем параллельного
вычисления, методы и технологии параллельного вычисления и актуальность применения
их к задачам информационной безопасности.
Фан ва техника ривожи ҳозирда юқори чўққиларни забт этаёган бўлсада, турли
йўналишларда шундай масалалар борки, уларни оддий компьютер ёрдамида реал вақт
давомида ҳал этиб бўлмайди. Масалан, атом физикаси, космик бошқарув, криптотаҳлил ва
ҳ.к.
Юқорида келтирилган масалалар фанда “Катта масалалар” атамаси билан
номланиб, ўз навбатида иш унумдорлиги юқори бўлган, бир неча (юзлаб, минглаб ва ҳ.к.)
микропроцессорларни ўзида жамловчи, архитектураси нуқтаи назаридан мукаммал
тузилишга эга бўлган, жараёнларни инсон иштирокисиз параллел қисмларга ажратиш ва
уларни турли микропроцессорларга юклашни амалга оширувчи супер компьютерлар
яратилишига бўлган талабни оширди.
Супер
компьютерлар
асрининг
бошланишини
1979
йилда
илк
Cray 1 векторли тизимининг яратилиши билан боғлаш мумкин. Гарчи яратилган
тизимнинг имкониятлари чекланган бўлсада, ушбу тизим бошқа аналоглар билан
солиштирилганда ўз даврининг ҳайратомуз ихтироси эди. Шу сабабли ушбу тизим “супер
компьютер” унвонига лойиқ деб топилиб, узоқ вақт давомида юқори тезликли ҳисоблаш
тизимларининг ривожини белгилаб бериш вазифасини бажарди. Аммо архитектура ва
дастурий таъминотларнинг ҳамкорликдаги ривожи натижасида, характеристикалари
билан умуман фарқ қилувчи янги тизимлар пайдо бўла бошлади. Шу сабабли ҳам “супер
компьютер” тушунчаси кўп маъноли тушунчага айланди.
Қуйида “супер компьютер” мақомига лойиқ бўлган айрим тизимлар ҳақида қисқача
маълумотлар келтирилади: АҚШ
энергетика Вазирлигига тегишли бўлган ASCI
(Accelerated Strategic Computing Initiative) дастури. Ҳозирда унинг иш унумдорлиги 12
Tflops; IBM компанияси томонидан яратилган BlueGene тизими асосан гидродинамика,
квант химияси, иқлимни моделлаштириш соҳаларида қўлланилади. Ҳозирда унинг иш
унумдорлиги 180 Tflops; Россия Федерациясидаги энг машҳур супер компьютерларидан
бири бўлган МВС-1000М кўп процессорли ҳисоблаш тизими, у Россия фанлар
академиясининг муассасалараро супер компьютер Марказига ўрнатилган. Ҳозирда унинг
иш унумдорлиги 4857,6 Gflops.
Мазкур супер комьютерларнинг афзаллиги шундаки, жараёнлар ўртасида маълумот
алмашинувига вақт кам сарф этилиши сабабли иш унумдорлиги юқори ҳамда турли хил
соҳадаги масаларни ҳал этиш учун универсал ҳисобланади.
Шунга қарамай супер компьютерларни ишлаб чиқиш билан боғлиқ масалалар катта
сарф харажатларни талаб этиши, ўз навбатида шундай иш унумдорликка эга бўлган бошқа
услуб ва технологияларни яратилишига бўлган эҳтиёжни оширди.
Шундай қилиб, локал ҳисоблаш тармоғига бирлаштирилган компьютерлар гуруҳи
ҳисобланган, ягона ҳисоблаш ресурси сифатида ишлаш имконига эга бўлган,
“Кластерлар” деб аталувчи параллел ҳисоблаш тизимлари оммалаша бошлади. Чунки,
100
мавжуд бир нечта компьютерларни алоқа тармоғи орқали боғлаш супер компьютерларни
ишлаб чиқишга нисбатан катта сарф харажатларни талаб этмайди.
Корнельск университетида (АҚШ) ўрнатилган AC3 Velocity Cluster кластери,
мазкур университет, Dell, Intel, Microsoft, Giganet ва яна 15 та дастурий таъминот яратувчи
компаниялар томонидан давлат ташкилотлари учун кластер архитектураларини яратиш
мақсадида ташкил этилган. AC3 Velocity кластерининг иш унумдорлиги 122 Gflops ни
ташкил этган ҳолда, шу каби кўрсаткичга эга бўлган супер компьютерлардан нархи
жиҳатидан 4-5 марта арзон ҳисобланган.
Ҳозирги кунда Intel корпорацияси процессорлари асосида қурилган кластерлар
дунё миқёсида етакчи ўринларни эгаллаб келмоқда. Жумладан, улардан бири Ливерморск
миллий лабораториясида (АҚШ) ўрнатилган Thunder кластери бўлиб, у Intel Itanium 2
процессори асосида яратилган. Thunder кластерининг ҳозирги кундаги иш унумдорлиги
22938 Gflops тенг бўлиб, таъкидлаш жоизки, бу супер компьютер ва кластерлар орасида
жуда яхши кўрсаткичдир.
Таҳлил натижаларидан келиб чиққан ҳолда айтиш мумкинки, турли соҳалар учун
параллел ҳисоблаш тизимларини яратиш бугунги куннинг долзарб масалаларидан бири
ҳисобланади. Жумладан, криптологиянинг криптотаҳлил йўналиши ҳам бундан мустасно
эмас.
Маълумки, криптотаҳлил усулларини тадқиқ этиш яратилган шифрлаш
алгоритмининг бардошлилигини баҳолаш масалаларида муҳим ўрин тутади. Ҳозирда
етарлича криптотаҳлил усуллари мавжуд бўлиб, уларни амалда қўллашда бир қатор
муаммоларга дуч келинади. Вақт ва хотира муаммоларини шулар қаторига киритиш
мумкин.
Замонавий
криптотаҳлилнинг
шифрлаш
алгоритмлари
бардошлилигини
баҳолашдаги энг самарали инструментларидан ҳисобланган, дифференциал ва чизиқли
криптотаҳлил усулларини амалиётда қўллаш жараёни юқоридаги айтилган фикрларга
яққол мисол бўла олади. Мазкур усулларни амалиётда қўллашнинг мураккаблиги шундан
иборатки, етарлича кўп миқдордаги очиқ ва шифр матн жуфтликлари устида таҳлил олиб
бориш керак бўлади. Очиқ адабиётларда келтирилган маълумотларга кўра, 16 раундли
DES криптоалгоритмига нисбатан дифференциал криптотаҳлил усулини қўллаб, калит
битларини аниқлаш учун 247 та очиқ ва шифр матн жуфтликлари устида таҳлил олиб
бориш талаб этилади. Бундан кўриниб турибдики, ушбу масалаларни оддий компьютер
ёрдамида реал вақт давомида ҳал этиб бўлмайди.
Юқоридагилардан келиб чиққан ҳолда, мазкур муаммоларни ҳал этиш учун албатта
параллел ҳисоблаш технологияларидан фойдаланиш талаб этилади. Шу сабабли,
замонавий параллел ҳисоблаш технологияларини криптотаҳлил усулларига қўллаш
масалаларини тадқиқ этиш ва ушбу йўналишда бир қатор илмий изланишларни олиб
бориш бугунги кунда ахборот хавфсизлигини таъминлашнинг долзарб масалалардан бири
ҳисобланади.
ОБ АКТУАЛЬНОСТИ РАЗРАБОТКИ АСИММЕТРИЧНЫХ АЛГОРИТМОВ
ШИФРОВАНИЯ ДАННЫХ
Жуманиязов Муроджон Отажонович, г. Ташкент
Мазкур маъруза тезкор асимметрик шифрлаш алгоритмларини яратишнинг
долзарблиги масалаларига бағишланган бўлиб, унда мавжуд симметрик ва асимметрик
криптотизимларининг солиштирув тавсифлари, шу билан бирга соҳа мутахассислари
томонидан тезкор асимметрик криптотизимлар яратиш йўналишида олиб борилаётган
илмий-тадқиқот иши натижалари баёни келтирилган.
101
Данный доклад посвящается вопросам актуальности разработки скоростных
асимметричных алгоритмов шифрования данных, в статье приведены, сравнительные
характеристики существующих симметричных и асимметричных криптосистем, а также
результаты научно-исследовательских работ, проведенных специалистами данной
области, посвященные вопросам разработки скоростных асимметричных алгоритмов
шифрования данных.
Криптографические методы защиты нашли широкое применение в сфере решения
многочисленных проблем информационной безопасности. Современная криптография
является областью знаний, связанной с решением таких проблем безопасности
информации, как конфиденциальность, целостность, аутентификация и невозможность
отказа сторон от авторства.
Достижение этих требований безопасности информационного взаимодействия и
составляет основные цели криптографии.
Первый тип задач относится к защите информации от несанкционированного
доступа с использованием шифрования. Такие задачи решаются с помощью
одноключевых или двухключевых криптосистем, первая из которых применяется
человечеством уже несколько тысячелетий. Решение задач обеспечения целостности,
аутентификации информации и невозможности отказа от авторства связано с открытием
асимметричной криптографии.
Общепринятым подходом в симметричной криптографии считается такое
построение шифра, при котором его секретность определяется только секретностью
ключа. Таким образом, шифр должен быть устойчивым к взлому, даже если
потенциальному криптоаналитику известен весь алгоритм шифрования, кроме значения
используемого ключа, и он располагает полным текстом перехваченной шифрограммы.
Для реализации симметричных криптосистем требуется наличие безопасного
канала распространения ключей, что является недостатком данных криптосистем.
Идею, лежащую в основе криптосистем с открытом ключом, высказали в 1975 г.
Диффи и Хеллман. Они ввели понятие односторонней функции с секретом. Это дало
принципиальную возможность разработки криптосистем с открытым ключом, в которых
алгоритм шифрования является общедоступным, и поэтому отсутствует необходимость в
безопасных каналах связи для предварительного обмена ключами.
Таким образом, эти криптосистемы принципиально отличаются от симметричных
криптосистем. Их называют асимметричными, или двухключевыми, поскольку они имеют
два ключа: открытый – для шифрования, секретный – для расшифрования.
Проблематика асимметричной криптографии является наиболее интенсивно
развивающимся направлением современной криптографии. Появившееся новое
направление криптографии потребовало широкого применения теории чисел,
комбинаторики, теории сложности, дискретной математики и других ее разделов.
В настоящее время имеется достаточно много асимметричных криптосистем,
предназначенных для шифрования информации или создания электронно-цифровой
подписи.
Одним из существенных недостатков асимметричных криптосистем является
низкая скорость шифрования при их программной и/или аппаратно-программной
реализации по сравнению с симметричными алгоритмами шифрования (в сотни, а иногда
и в тысячи раз медленнее, чем симметричные алгоритмы шифрования). По этой причине
асимметричные алгоритмы используются в основном для решения задач электронной
цифровой подписи и распределения ключевой информации.
Практическая криптостойкость алгоритмов асимметричной криптографии основана
на решении двух задач: дискретного логарифмирования и факторизации. Существуют
различные мнения о возможности решения этих задач в будущем, и о том, как скоро это
может произойти. Поэтому для специалистов в области защиты информации постоянно
102
остается актуальной задача разработки альтернативных систем. При этом главными
остаются проблемы существования односторонней функции и функции с секретом.
Анализ результатов в направлении асимметричной криптографии показывает, что в
настоящее время актуальной задачей является разработка стойких, основанных на новых
математических сложностях, высокоскоростных асимметричных криптосистем со
скоростью сопоставимой с симметричными. Положительное решение этой задачи,
одновременно позволяет комплексно решать вышеуказанные задачи в криптографии.
Учитывая актуальность разработки новых, высокоскоростных асимметричных
криптосистем специалистами Службы – Уполномоченного органа в области
криптографической и технической защиты информации проведена научноисследовательская работа. В результате исследований получена односторонняя функция
на основе матриц со специальной структурой, на базе этой функции разработаны
асимметричные алгоритмы шифрования данных и их программная реализация.
В рамках проведенных изысканий было выяснено, что в отдельных элементах
теории матриц имеются криптографические свойства, позволяющие применить их при
построении асимметричных криптосистем.
Стойкость разработанного асимметричного алгоритма шифрования данных
основывается на сложности нахождения единственного решения систем линейных
уравнений. В качестве однонаправленной функции в алгоритме используется конструкция
Y8 x1  A8 x8 * X 8 x1 (mod N ) , где, A8 x 8 - вырожденная матрица в конечном поле N .
С целью определения скоростей разработанных алгоритмов было проведено
тестовое испытание с помощью разработанного программного обеспечения, в результате
которого было определено, что разработанные асимметричные алгоритмы шифрования
данных по своим скоростным характеристикам не уступают симметричным, скорость
шифрования/расшифрования 2,3 Мбайт/с.
В настоящее время специалистами Службы исследования в данном направлении
продолжаются.
103
ОГЛАВЛЕНИЕ
Ходжаев С.М.
Ахборот хавфсизлиги тушунчаси. . . . . . . . . . . . . . . . . . . . . . .
2
Джураев Р.Х
Анализ сетей телекоммуникаций как объектов оценки
информационной безопасности. . . . . . . . . . . . . . . . . . . . . . . ..
9
Решение вопроса проведения безопасной транзакции в
платежных системах. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .
11
Национальный криптопровайдер, как один из фактров
обеспечения безопасности электронной коммерции в
республике узбекистан. . . . . . . . . . . . . . . . . . . . . . . . . . . . . .
13
Электрон ҳукумат тизимида давлат органлари ва аҳоли
муносабатлари моделлари. . . . . . . . . . . . . . . . . . . . . . . . . . ..
15
Якубов М.С., СултонСохиб Х., Комолов Ж
Электрон ҳукуматда давлат ҳокимияти органлари ва
фуқаролар ўзаро муносабатларини шакллантириш . . . . . . . .
17
Якубов М.С.,
Мансурова М.Я.
Сулайманов У.,
Иноятов Х.,
Юнусова Ш.
Ахборот-коммуникация технологиялари асосида давлат
хизматларини ташкил этиш . . . . . . . . . . . . . . . . . . . . . . .. . . .
Алгоритмы обеспечения информационной безопасности в
стандарте GSM . . . . . . . . . . . . . . . . . . . . . . .. . . . . . . . . . . . . .
. . . . . . . . . .. . . . . . . . . . . . . . . . . . . . . . . .. . . . . . . . . . . . . . . . . .
М.М.Каримов,
К.А.Ташев, А.Т.
Имамалиев, А.А.
Иброхимов
Алгоритм оценки рисков при аудите информационной
безопасности . . . . . . . . . . . . . . . . . . . . . . .. . . . . . . . . . . . . . . . .
. . . . . . .. . . . . . . . . . . . . . . . . . . . . . . .. . . . . . . . . . . . . . . . . . . . .
. . .. . . . . . . . . . . . . . . . . . . . . . . .. . . . . . . . . . . . . . . . . . . . . . . ..
22
К.А.Ташев,
Д.Я. Иргашева,
А.А.Абдурахманов,
А.Т.Имамалиев
Модель системы мониторинга безопасности в инфокоммуникационных системах . . . . . . . . . . . . . . . . . . . . . . .. . . . . . . .
. . . . . . . . . . . . . . . .. . . . . . . . . . . . . . . . . . . . . . . .. . . . . . . . . . . .
. . . . . . . . . . . .. . . . . . . . . . . . . . . . . . . . . . . .. . . . . . . . . . . . . . .
25
Ташев К.А,
Худойқулов З.Т.,
Имамалиев А.Т.
Параметрли алгебра назариясига асосланган тасодифий
кетма-кетликни ҳосил қилиш алгоритми
Бабамухамедов Б.А.,
Шамшиева Б.М.,
Раджабов М.Х.
Анализ рынка средств защиты от копирования и взлома
программных продуктов . . . . . . . . . . . . . . . . . . . . . . .. . . . . . .
. . . . . . . . . . . . . . . . .. . . . . . . . . . . . . . . . . . . . . . . .. . . . . . . . . . .
29
З.Ё. Рахимджонов,
З.З. Шарипов,
Қ.А. Джангазова
Информацион тизимларда хавф эҳтимолини таҳлили . . . . .
. . . . . . . . . . . . . . . . . .. . . . . . . . . . . . . . . . . . . . . . . .. . . . . . . . . .
. . . . . . . . . . . . . .. . . . . . . . . . . . . . . . . . . . . . . .. . . . . . . . . . . . . .
31
Ғаниев С. К.,
Халмуратов О.У.,
Абрамов А.С.
Норавшан мантиқ назарияси асосида хавф-хатарни
баҳолаш алгоритми . . . . . . . . . . . . . . . . . . . . . . .. . . . . . . . . . .
. . . . . . . . . . . . .. . . . . . . . . . . . . . . . . . . . . . . .. . . . . . . . . .. . . . .
34
Иргашева Д.Я.,
Азимова У.А.,
Гаипназаров Р.Т.
К вопросу обеспечения целостности структуры базы
данных . . . . . . . . . . . . . . . . . . . . . . .. . . . . . . . . . . . . . . . . . . . . .
. .. . . . . . . . . . . . . . . . . . . . . . . .. . . . . . . . . . . . . . . . . . . . . . . .. .
35
Islomov Sh.Z.
Axborotni himoyalash tizimida tasvirlarni tanib olishning
37
Хайдарова М.Ю
Мансурова М. Я.
Якубов М.С
18
22
27
104
katakdagi piksellarni ifodalash algoritmini qo’llash . . . . . . . . .
Islomov Sh.Z.
Axborotni himoyalash tizimida tasvirlarni tanib olishning
onlayn va oflayn usullarida neyron tarmoqlarni qo’llash . . . . . .
38
Гуломов Ш.Р.,
Назиров А.А.,
Кусаев А.М.
Сравнительный анализ программных средств систем
защиты информации . . . . . . . . . . . . . . . . . . . . . . .. . . . . . . . . .
. . . . . . . . . . . . . .. . . . . . . . . . . . . . . . . . . . . . . .. . . . . .. . . . . . .
40
Лысенко Т.Г.
К вопросу обеспечения безопасности беспроводных сетей
специальными средствами . . . . . . . . . . . . . . . . . . . . . . . . . . .
42
Д.Я. Иргашева,
Т.Г. Лысенко
К вопросу обеспечения методов взлома беспроводной
Сети . . . . . . . . . . . . . . . . . . . . . . .. . . . . . . . . . . . . . . . . . . . . . . ..
44
Раджабов М.Х.
Повышение достоверности результатов проведения аудита
информационной безопасности . . . . . . . . . . . . . . . . . . . . . . ..
46
Бабамухамедов Б.А.,
Шамшиева Б.М.,
Раджабов М.Х.
Анализ рынка средств защиты от копирования и взлома
программных продуктов . . . . . . . . . . . . . . . . . . . . . . .. . . . . . .
. . . . . . . . . . . . . . . . .. . . . . . . . . . . . . . . . . . . . . . . .. . . . . . . . . ..
47
И. Р. Валиев
Смарт-карта как многофункциональное устройство в
современном мире . . . . . . . . . . . . . . . . . . . . . . .. . . . . . . . .. .
50
К
вопросу
воздействие
угроз
информационной
безопасности в компьютерных системах . . . . . . . . . . . . . . . .
51
Ш. Р. Гуломов
Б. К. Юсупов
Анализ риска политики безопасности организации при
работе в Интернет . . . . . . . . . . . . . . . . . . . . . . .. . . . . . . . . .
53
Ostonov M. B
Bardoshli xesh funksiyalarni ishlab chiqish muammosi . .. . . ..
56
Ostonov M. B.,
Ismanova M. H.
Elektron raqamli imzodan foydalanishda xesh funksiyalarning
o’rni . . . . . . . . . . . . . . . . . . . . . . .. . . . . . . . . . . . . . . . . . . . . . . ..
57
С.С.Шарипова
Электрон почта тизимларида ахборот хавфсизлигини
таъминлаш . . . . . . . . . . . . . . . . . . . . . . .. . . . . . . . . . . . . . . . . . .
59
Турсунов М. А.,
Шарипова С. С
Ахборот тизимларида хавфсизлик муаммоси . . . . . . . . . . . .
. . . . . . . . . . .. . . . . . . . . . . . . . . . . . . . . . . .. . . . . . . . . . . . . . . . .
61
Турсунов М.А.
Электрон
ҳужжат айланиш тизимларида ахборот
хавфсизлиги муаммоси . . . . . . . . . . . . . . . . . . . . . . .. . . . . . ..
63
Axborot xavfsizligida identifikatsiya va autentifikatsiya
masalalari . . . . . . . . . . . . . . . . . . . . . . .. . . . . . . . . . . . . . . . . . . .
64
Исследование
и
оптимизация
защиты
системы
электронного документооборота . . . . . . . . . . . . . . . . . . . . . . .
65
Турсунбаев У.Т.
Веб дастурларда аутентификация жараёни таҳлили . . . . . . .
67
Матякубов А.С.
Шамуратов Б.А.
Таълим муассасаларида ахборот хавфсизлиги муаммолари
. . . . . . . . . . . . . . . . . . . . . . .. . . . . . . . . . . . . . . . . . . . . . . .. . . .
69
Гулямова Д.Р.
Самигова Г.А.
Анализ угроз информационной безопасности . . . . . . . . . . . .
. . . . . . . . . . .. . . . . . . . . . . . . . . . . . . . . . . .. . . . . . . . .. . . . . . . .
70
Давронова Л.У.
Nabiyev A.
Турсунбаев У.Т.
105
Гулямова Д.Р.
Самигова Г.А.
Ma’lumotlarni himoyalash usullari . . . . . . . . . . . . . . . . . . . . . .
.. . . . . . . . . . . . . . . . . . . . . . . .. . . . . . . . . . . . . . . . . . . . . . . .. . .
71
Бобомурадов О.Ж.
Олий таълим тизими тармоқ ресурсларини ҳимоясини
ташкил этиш масалалари . . . . . . . . . . . . . . . . . . . . . . .. . . . . .
72
Тиббиёт муассасалари фаолиятини автоматлаштириш
тизимларини яратиш ва уларда аxборот xавфсизлигини
таъминлаш . . . . . . . . . . . . . . . . . . . . . . .. . . . . . . . . . . . . . . . . . .
74
Проблематика защиты конечных точек от современных
угроз . . . . . . . . . . . . . . . . . . . . . . .. . . . . . . . . . . . . . . . . . . . . . .
75
Холиқов Э.,
Сулайманов У.
Ахборотларни хавфсиз узатишда блокли шифрлаш
алгоритмларининг роли . . . . . . . . . . . . . . . . . . . . . . .. . . . . . .
76
Павел Сотников
7 правил информационной безопасности . . . . . . . . . . . . .. .
78
Нормуминов Ф.К.,
Насруллаев Н.Б.,
Турсунов М.А.
Калитларни
тақсимлаш
алгоритмларининг
криптобардошлигини баҳолаш . . . . . . . . . . . . . . . . . . . . . . ..
. . . . . . . . . . . . . . . . . . . . . . .. . . . . . . . . . . . . . . . . . . . . . . .. . . .
81
Мидхат Семирханов
Угрозы 2013 по версии Websenselabs . . . . . . . . . . . . . . . . . . .
83
М.Х. Исманова
Электрон рақамли имзо алгоритмлари бардошлилиги
муаммоси . . . . . . . . . . . . . . . . . . . . . . .. . . . . . . . . . . . . . . . . . .
84
Симметрик
шифрлаш
алгоритмларининг
бардошлилигини ошириш усуллари . . . . . . . . . . . . . . . . . . . .
87
Проблемы кадрового обеспечения информационной
безопасности. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .
88
Электрон рақамли имзонинг ахборот хавфсизлигини
таъминлашдаги ўрни . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .
93
Ахборот – коммуникацион тизимларда электрон ракамли
имзодан фойдаланиш муаммоси . . . . . . . . . . . . . . . . . . . . . . .
95
Рустамов Б. Н.
Сергей Мильцин
Холиқов Э.
Носиров И. Н.
Собирова Д.
Нурманов З.Т.
Иргашева Д.Я.,
Гаипназаров Р.Т.,
Отахонов А.У.
Имомов Э.М.
Жуманиязов М.О.
Методы оценивания угроз информационной безопасности
Параллел ҳисоблаш тизимини ташкил этишнинг замонавий
усуллари ва уларни ахборот хавфсизлиги масалаларига
қўллаш долзарблиги
Об актуальности разработки асимметричнқх алгоритмов
шифрования данных
97
98
100
106