은행 비현금 결제의 정보 보안. 8부 - 일반적인 위협 모델

연구 내용은 무엇입니까?

연구의 다른 부분에 대한 링크

• 은행 비현금 결제의 정보 보안. 1부 – 경제 기초.
• 은행 비현금 결제의 정보 보안. 파트 2 - 일반적인 은행 IT 인프라.
• 은행 비현금 결제의 정보 보안. 3부 - 보호 시스템에 대한 요구사항 형성.
• 은행 비현금 결제의 정보 보안. 4부 - 위협 모델링 표준 검토.
• 은행 비현금 결제의 정보 보안. 파트 5 - 은행 해킹에 관한 100개 이상의 주제별 링크.
• 은행 비현금 결제의 정보 보안. 파트 6 - 은행 범죄 분석.
• 은행 비현금 결제의 정보 보안. 파트 7 - 기본 위협 모델.
• 은행 비현금 결제의 정보 보안. 8부 - 일반적인 위협 모델 (당신은 여기 있습니까?)

이 기사는 은행 비현금 결제의 정보 보안을 보장하는 데 전념하는 일련의 간행물을 완성합니다. 여기서는 앞서 언급한 일반적인 위협 모델을 살펴보겠습니다. 기본 모델:

• 일반적인 위협 모델. 네트워크 연결.
• 일반적인 위협 모델. 클라이언트-서버 아키텍처를 기반으로 구축된 정보 시스템.
• 일반적인 위협 모델. 출입 통제 시스템.
• 일반적인 위협 모델. 통합 모듈.
• 일반적인 위협 모델. 암호화 정보 보호 시스템.

하브로 경고!!! 친애하는 Khabrovites, 이것은 재미있는 게시물이 아닙니다.
컷 아래에 숨겨진 40페이지 이상의 자료는 일이나 공부에 도움 은행 업무나 정보 보안을 전문으로 하는 사람. 이 자료는 연구의 최종 결과물이며 건조하고 형식적인 어조로 작성되었습니다. 본질적으로 이는 내부 정보 보안 문서의 공백입니다.

글쎄, 전통적- “기사 내용을 불법적인 목적으로 사용하는 행위는 법적 처벌을 받을 수 있습니다.”. 생산적인 독서!

이 출판물을 시작으로 연구에 익숙해진 독자를 위한 정보입니다.

연구 내용은 무엇입니까?

귀하는 은행 결제 정보 보안을 담당하는 전문가에 대한 가이드를 읽고 있습니다.

프레젠테이션 로직

처음에는 1 부품 и 2 부품 보호된 객체에 대한 설명이 제공됩니다. 그런 다음 3 부품 보안 시스템 구축 방법을 설명하고 위협 모델 생성의 필요성에 대해 설명합니다. 안에 4 부품 어떤 위협 모델이 존재하고 어떻게 형성되는지에 대해 설명합니다. 안에 5 부품 и 6 부품 실제 공격에 대한 분석이 제공됩니다. Часть 7 и 일부 8 모든 이전 부분의 정보를 고려하여 구축된 위협 모델에 대한 설명을 포함합니다.

일반적인 위협 모델. 네트워크 연결

위협 모델(범위)이 적용되는 보호 개체

보호 대상은 TCP/IP 스택을 기반으로 구축된 데이터 네트워크에서 동작하는 네트워크 연결을 통해 전송되는 데이터입니다.

구조

건축 요소에 대한 설명:

• "엔드 노드" — 보호된 정보를 교환하는 노드.
• "중간 노드" — 데이터 전송 네트워크의 요소: 라우터, 스위치, 액세스 서버, 프록시 서버 및 기타 장비 — 네트워크 연결 트래픽이 전송되는 곳입니다. 일반적으로 네트워크 연결은 중간 노드 없이(끝 노드 사이에서 직접) 작동할 수 있습니다.

최고 수준의 보안 위협

분해

U1. 전송된 데이터에 대한 무단 액세스.
U2. 전송된 데이터의 무단 수정.
U3. 전송된 데이터의 저작권 침해.

U1. 전송된 데이터에 대한 무단 액세스

분해
U1.1. <…>, 최종 또는 중간 노드에서 수행:
U1.1.1. <…> 호스트 저장 장치에 있는 데이터를 읽는 방법:
U1.1.1.1. <…> RAM에서.
U1.1.1.1에 대한 설명.
예를 들어 호스트의 네트워크 스택에서 데이터를 처리하는 동안입니다.

U1.1.1.2. <…> 비휘발성 메모리에 있습니다.
U1.1.1.2에 대한 설명.
예를 들어, 전송된 데이터를 캐시, 임시 파일 또는 스왑 파일에 저장할 때.

U1.2. <…>, 데이터 네트워크의 제XNUMX자 노드에서 수행:
U1.2.1. <…> 호스트의 네트워크 인터페이스에 도착하는 모든 패킷을 캡처하는 방법:
U1.2.1에 대한 설명.
모든 패킷 캡처는 네트워크 카드를 무차별 모드(유선 어댑터의 경우 무차별 모드, Wi-Fi 어댑터의 경우 모니터 모드)로 전환하여 수행됩니다.

U1.2.2. <…> 중간자(MiTM) 공격을 수행하지만 전송된 데이터는 수정하지 않습니다(네트워크 프로토콜 서비스 데이터는 계산하지 않음).
U1.2.2.1. 링크: “전형적인 위협 모델. 네트워크 연결. U2. 전송된 데이터의 무단 수정'.

U1.3. <…>, 물리적 노드나 통신 회선의 기술 채널(TKUI)을 통한 정보 유출로 인해 수행됩니다.

U1.4. <… > 비밀 정보 수집을 위해 최종 또는 중간 노드에 특수 기술 수단(STS)을 설치하여 수행됩니다.

U2. 전송된 데이터의 무단 수정

분해
U2.1. <…>, 최종 또는 중간 노드에서 수행:
U2.1.1. <…> 노드의 저장 장치에 있는 데이터를 읽고 변경합니다.
U2.1.1.1. <…> RAM에서:
U2.1.1.2. <…> 비휘발성 메모리의 경우:

U2.2. <…> 데이터 전송 네트워크의 제XNUMX자 노드에서 수행됩니다.
U2.2.1. <…> 중간자(MiTM) 공격을 수행하고 트래픽을 공격자의 노드로 리디렉션합니다.
U2.2.1.1. 공격자 장비의 물리적 연결로 인해 네트워크 연결이 끊어집니다.
U2.2.1.2. 네트워크 프로토콜에 대한 공격 수행:
U2.2.1.2.1. <…> 가상 로컬 네트워크(VLAN) 관리:
U2.2.1.2.1.1. VLAN 호핑.
U2.2.1.2.1.2. 스위치 또는 라우터의 VLAN 설정을 무단으로 수정합니다.
U2.2.1.2.2. <…> 트래픽 라우팅:
U2.2.1.2.2.1. 라우터의 정적 라우팅 테이블을 무단으로 수정합니다.
U2.2.1.2.2.2. 동적 라우팅 프로토콜을 통해 공격자가 잘못된 경로를 알립니다.
U2.2.1.2.3. <…> 자동 구성:
U2.2.1.2.3.1. 불량 DHCP.
U2.2.1.2.3.2. 불량 WPAD.
U2.2.1.2.4. <…> 주소 지정 및 이름 확인:
U2.2.1.2.4.1. ARP 스푸핑.
U2.2.1.2.4.2. DNS 스푸핑.
U2.2.1.2.4.3. 로컬 호스트 이름 파일(hosts, lmhosts 등)을 무단으로 변경합니다.

U3. 전송된 데이터의 저작권 침해

분해
U3.1. 데이터의 작성자 또는 출처에 대한 허위 정보를 표시하여 정보의 작성자를 결정하는 메커니즘을 무력화합니다.
U3.1.1. 전송된 정보에 포함된 저자에 대한 정보를 변경합니다.
U3.1.1.1. 전송된 데이터의 무결성 및 저작권에 대한 암호화 보호 무력화:
U3.1.1.1.1. 링크: “전형적인 위협 모델. 암호화 정보 보호 시스템.
U4. 허위 데이터로 적법한 서명자의 전자 서명 생성".
U3.1.1.2. 일회성 확인 코드를 사용하여 구현된 전송 데이터의 저작권 보호 중립화:
U3.1.1.2.1. SIM 스왑.

U3.1.2. 전송된 정보의 출처에 대한 정보 변경:
U3.1.2.1. IP 스푸핑.
U3.1.2.2. MAC 스푸핑.

일반적인 위협 모델. 클라이언트-서버 아키텍처를 기반으로 구축된 정보 시스템

위협 모델(범위)이 적용되는 보호 개체

보호 대상은 클라이언트-서버 아키텍처를 기반으로 구축된 정보 시스템입니다.

구조


건축 요소에 대한 설명:

• "고객" – 정보 시스템의 클라이언트 부분이 작동하는 장치.
• "섬기는 사람" – 정보 시스템의 서버 부분이 작동하는 장치.
• "데이터 저장소" — 정보 시스템에 의해 처리된 데이터를 저장하도록 설계된 정보 시스템의 서버 인프라의 일부입니다.
• "네트워크 연결" — 데이터 네트워크를 통과하는 클라이언트와 서버 간의 정보 교환 채널입니다. 요소 모델에 대한 자세한 설명은 “전형적인 위협 모델입니다. 네트워크 연결'.

제한
객체를 모델링할 때 다음 제한 사항이 설정됩니다.

1. 사용자는 작업 세션이라고 하는 제한된 시간 내에 정보 시스템과 상호 작용합니다.
2. 각 작업 세션이 시작될 때 사용자가 식별되고, 인증되고, 권한이 부여됩니다.
3. 모든 보호된 정보는 정보 시스템의 서버 부분에 저장됩니다.

최고 수준의 보안 위협

분해
U1. 합법적인 사용자를 대신하여 공격자가 무단 작업을 수행합니다.
U2. 정보 시스템의 서버 부분에서 처리하는 동안 보호된 정보를 무단으로 수정하는 행위.

U1. 합법적인 사용자를 대신하여 공격자가 무단 작업을 수행하는 행위

설명
일반적으로 정보 시스템에서 작업은 다음을 사용하여 해당 작업을 수행한 사용자와 연관됩니다.

1. 시스템 작동 로그(로그).
2. 데이터 개체를 생성하거나 수정한 사용자에 대한 정보가 포함된 데이터 개체의 특수 속성입니다.

작업 세션과 관련하여 이 위협은 다음과 같이 분류될 수 있습니다.

1. <…> 사용자 세션 내에서 수행됩니다.
2. <…> 사용자 세션 외부에서 실행됩니다.

사용자 세션이 시작될 수 있습니다.

1. 사용자 자신에 의해.
2. 악인.

이 단계에서 이 위협의 중간 분해는 다음과 같습니다.
U1.1. 사용자 세션 내에서 승인되지 않은 작업이 수행되었습니다.
U1.1.1. <…> 공격받은 사용자가 설치했습니다.
U1.1.2. <…> 공격자가 설치했습니다.
U1.2. 사용자 세션 외부에서 승인되지 않은 작업이 수행되었습니다.

공격자의 영향을 받을 수 있는 정보 인프라 개체의 관점에서 중간 위협의 분해는 다음과 같습니다.

항목
위협 분해

U1.1.1.
U1.1.2.
U1.2.

클라이언트
U1.1.1.1.
U1.1.2.1.

네트워크 연결
U1.1.1.2.

서버

U1.2.1.

분해
U1.1. 사용자 세션 내에서 승인되지 않은 작업이 수행되었습니다.
U1.1.1. <…> 공격받은 사용자가 설치한 것:
U1.1.1.1. 공격자는 클라이언트와 독립적으로 행동했습니다.
U1.1.1.1.1 공격자는 표준 정보 시스템 액세스 도구를 사용했습니다.
У1.1.1.1.1.1. 공격자는 클라이언트의 물리적 입출력 수단(키보드, 마우스, 모니터, 모바일 기기의 터치스크린)을 사용했습니다.
U1.1.1.1.1.1.1. 공격자는 세션이 활성화되고 I/O 기능이 사용 가능하며 사용자가 없는 기간 동안 활동했습니다.
У1.1.1.1.1.2. 공격자는 클라이언트를 제어하기 위해 원격 관리 도구(표준 또는 악성 코드에서 제공)를 사용했습니다.
U1.1.1.1.1.2.1. 공격자는 세션이 활성화되고 I/O 기능이 사용 가능하며 사용자가 없는 기간 동안 활동했습니다.
У1.1.1.1.1.2.2. 공격자는 공격받은 사용자에게 그 작동이 보이지 않는 원격 관리 도구를 사용했습니다.
U1.1.1.2. 공격자는 클라이언트와 서버 간 네트워크 연결의 데이터를 교체하여 합법적인 사용자의 행동으로 인식되도록 수정했습니다.
U1.1.1.2.1. 링크: “전형적인 위협 모델. 네트워크 연결. U2. 전송된 데이터의 무단 수정'.
U1.1.1.3. 공격자는 소셜 엔지니어링 방법을 사용하여 사용자가 지정한 작업을 수행하도록 강요했습니다.

У1.1.2 <…> 공격자가 설치:
U1.1.2.1. 공격자는 클라이언트(И):
U1.1.2.1.1. 공격자는 정보 시스템의 접근 제어 시스템을 무력화했습니다.
U1.1.2.1.1.1. 링크: “전형적인 위협 모델. 출입 통제 시스템. U1. 합법적인 사용자를 대신하여 무단으로 세션을 설정했습니다.".
У1.1.2.1.2. 공격자는 표준 정보 시스템 액세스 도구를 사용했습니다.
U1.1.2.2. 공격자는 서버에 대한 네트워크 연결을 설정할 수 있는 데이터 네트워크의 다른 노드에서 활동했습니다(И):
U1.1.2.2.1. 공격자는 정보 시스템의 접근 제어 시스템을 무력화했습니다.
U1.1.2.2.1.1. 링크: “전형적인 위협 모델. 출입 통제 시스템. U1. 합법적인 사용자를 대신하여 무단으로 세션을 설정했습니다.".
U1.1.2.2.2. 공격자는 정보 시스템에 접근하는 데 비표준 수단을 사용했습니다.
설명 U1.1.2.2.2.
공격자는 제XNUMX자 노드에 정보 시스템의 표준 클라이언트를 설치하거나 클라이언트와 서버 간의 표준 교환 프로토콜을 구현하는 비표준 소프트웨어를 사용할 수 있습니다.

U1.2 사용자 세션 외부에서 승인되지 않은 작업이 수행되었습니다.
U1.2.1 공격자는 무단 작업을 수행한 후 정보 시스템 운영 로그 또는 데이터 개체의 특수 속성을 무단 변경하여 자신이 수행한 작업이 합법적인 사용자에 의해 수행되었음을 나타냅니다.

U2. 정보 시스템의 서버 부분에서 처리하는 동안 보호되는 정보를 무단으로 수정하는 행위

분해
U2.1. 공격자는 표준 정보 시스템 도구를 사용하여 합법적인 사용자를 대신하여 보호된 정보를 수정합니다.
U2.1.1. 링크: “전형적인 위협 모델. 클라이언트-서버 아키텍처를 기반으로 구축된 정보 시스템입니다. U1. 합법적인 사용자를 대신하여 공격자가 무단 작업을 수행하는 행위".

U2.2. 공격자는 정보 시스템의 정상적인 작동에서 제공되지 않는 데이터 액세스 메커니즘을 사용하여 보호된 정보를 수정합니다.
U2.2.1. 공격자는 보호된 정보가 포함된 파일을 수정합니다.
U2.2.1.1. <…>, 운영 체제에서 제공하는 파일 처리 메커니즘을 사용합니다.
U2.2.1.2. <…> 무단으로 수정된 백업 복사본에서 파일을 복원하도록 유도합니다.

U2.2.2. 공격자는 데이터베이스(И):
U2.2.2.1. 공격자는 DBMS 접근 제어 시스템을 무력화합니다.
U2.2.2.1.1. 링크: “전형적인 위협 모델. 출입 통제 시스템. U1. 합법적인 사용자를 대신하여 무단으로 세션을 설정했습니다.".
U2.2.2.2. 공격자는 데이터에 접근하기 위해 표준 DBMS 인터페이스를 사용하여 정보를 수정합니다.

U2.3. 공격자는 보호된 정보를 처리하는 소프트웨어의 운영 알고리즘을 무단으로 수정하여 보호된 정보를 수정합니다.
U2.3.1. 소프트웨어의 소스 코드는 수정될 수 있습니다.
U2.3.1. 소프트웨어의 기계어 코드는 수정될 수 있습니다.

U2.4. 공격자는 정보 시스템 소프트웨어의 취약점을 이용하여 보호된 정보를 수정합니다.

U2.5. 공격자는 정보 시스템의 서버 부분 구성 요소(예: 데이터베이스 서버와 응용 프로그램 서버) 간에 보호된 정보가 전송될 때 이를 수정합니다.
U2.5.1. 링크: “전형적인 위협 모델. 네트워크 연결. U2. 전송된 데이터의 무단 수정'.

일반적인 위협 모델. 접근 통제 시스템

위협 모델(범위)이 적용되는 보호 개체

이 위협 모델이 적용되는 보호 개체는 위협 모델의 보호 개체인 “일반적인 위협 모델. 클라이언트-서버 아키텍처를 기반으로 구축된 정보 시스템입니다.”

이 위협 모델에서 사용자 접근 제어 시스템은 다음 기능을 구현하는 정보 시스템의 구성 요소를 의미합니다.

1. 사용자 식별.
2. 사용자 인증.
3. 사용자 인증.
4. 사용자 작업을 기록합니다.

최고 수준의 보안 위협

분해
U1. 합법적인 사용자를 대신하여 무단으로 세션을 설정했습니다.
U2. 정보 시스템에서 사용자 권한이 무단으로 증가합니다.

U1. 합법적인 사용자를 대신하여 무단으로 세션을 설정했습니다.

설명
이 위협의 분해는 일반적으로 사용되는 사용자 식별 및 인증 시스템의 유형에 따라 달라집니다.

본 모델에서는 텍스트 로그인과 비밀번호를 이용한 사용자 식별 및 인증 시스템만을 고려한다. 이 경우 사용자 로그인 정보는 공격자가 알고 있는 공개적으로 이용 가능한 정보라고 가정합니다.

분해
U1.1. <…> 자격 증명 손상으로 인해:
U1.1.1. 공격자는 사용자의 자격 증명을 저장하는 동안 이를 손상시켰습니다.
설명 U1.1.1.
예를 들어 자격 증명은 모니터에 붙어 있는 스티커 메모에 기록될 수 있습니다.

U1.1.2. 사용자가 실수로 또는 악의적으로 액세스 세부 정보를 공격자에게 전달했습니다.
U1.1.2.1. 사용자는 입력할 때 자격 증명을 큰 소리로 말했습니다.
U1.1.2.2. 사용자가 의도적으로 자신의 자격 증명을 공유했습니다.
U1.1.2.2.1. <…> 직장 동료들에게.
설명 U1.1.2.2.1.
예를 들어, 질병 중에 교체할 ​​수 있도록 합니다.

U1.1.2.2.2. <… > 정보 인프라 개체에 대한 작업을 수행하는 고용주의 계약자에게.
U1.1.2.2.3. <…> 제XNUMX자에게.
설명 U1.1.2.2.3.
이 위협을 구현하기 위한 유일한 옵션은 아니지만 공격자가 사회 공학적 방법을 사용하는 것입니다.

U1.1.3. 공격자는 무차별 대입 방법을 사용하여 자격 증명을 선택했습니다.
U1.1.3.1. <…> 표준 액세스 메커니즘을 사용합니다.
U1.1.3.2. <… > 자격 증명을 저장하기 위해 이전에 차단된 코드(예: 비밀번호 해시)를 사용합니다.

U1.1.4. 공격자는 악성 코드를 사용하여 사용자 자격 증명을 가로채었습니다.

U1.1.5. 공격자는 클라이언트와 서버 간의 네트워크 연결에서 자격 증명을 추출했습니다.
U1.1.5.1. 링크: “전형적인 위협 모델. 네트워크 연결. U1. 전송된 데이터에 대한 무단 액세스".

U1.1.6. 공격자는 작업 모니터링 시스템 기록에서 자격 증명을 추출했습니다.
U1.1.6.1. <…> 비디오 감시 시스템(작동 중에 키보드의 키 입력이 기록된 경우).
U1.1.6.2. <…> 컴퓨터에서 직원의 행동을 모니터링하는 시스템
설명 U1.1.6.2.
그러한 시스템의 예는 다음과 같습니다. 물건경찰.

U1.1.7. 공격자는 전송 프로세스의 결함으로 인해 사용자 자격 증명을 손상시켰습니다.
설명 U1.1.7.
예를 들어, 이메일을 통해 비밀번호를 일반 텍스트로 보냅니다.

U1.1.8. 공격자는 원격 관리 시스템을 사용하여 사용자 세션을 모니터링하여 자격 증명을 획득했습니다.

U1.1.9. 공격자는 기술 채널(TCUI)을 통해 유출된 결과 자격 증명을 획득했습니다.
U1.1.9.1. 공격자는 사용자가 키보드에서 자격 증명을 입력하는 방법을 관찰했습니다.
U1.1.9.1.1 공격자는 사용자와 가까운 곳에 위치하여 자격 증명의 입력을 직접 목격했습니다.
설명 U1.1.9.1.1
이러한 경우에는 직장 동료의 행동이나 사용자의 키보드가 조직 방문자에게 표시되는 경우가 포함됩니다.

U1.1.9.1.2 공격자는 쌍안경이나 무인항공기 등 추가적인 기술적 수단을 사용했으며, 창을 통해 크리덴셜이 입력되는 것을 보았다.
U1.1.9.2. 공격자는 무선 인터페이스(예: Bluetooth)를 통해 연결된 키보드와 컴퓨터 시스템 장치 간의 무선 통신에서 자격 증명을 추출했습니다.
U1.1.9.3. 공격자는 PEMIN(가짜 전자기 방사 및 간섭) 채널을 통해 자격 증명을 유출하여 이를 가로채었습니다.
설명 U1.1.9.3.
공격의 예 여기에 и 여기에.

U1.1.9.4. 공격자는 은밀하게 정보를 탈취하기 위해 고안된 특수기술수단(STS)을 이용해 키보드에서 크리덴셜이 입력되는 것을 가로챘다.
설명 U1.1.9.4.
예 장치.

U1.1.9.5. 공격자는 다음을 사용하여 키보드에서 자격 증명 입력을 가로채었습니다.
사용자의 키 입력 과정에 의해 변조된 Wi-Fi 신호를 분석합니다.
설명 U1.1.9.5.
예 공격.

U1.1.9.6. 공격자는 키 입력 소리를 분석하여 키보드에서 크리덴셜 입력을 가로채었습니다.
설명 U1.1.9.6.
예 공격.

U1.1.9.7. 공격자는 가속도계 판독값을 분석하여 모바일 장치 키보드에서 자격 증명 입력을 가로채었습니다.
설명 U1.1.9.7.
예 공격.

U1.1.10. <…>, 이전에 클라이언트에 저장되었습니다.
설명 U1.1.10.
예를 들어, 사용자는 특정 사이트에 액세스하기 위해 브라우저에 로그인과 비밀번호를 저장할 수 있습니다.

U1.1.11. 공격자는 사용자 액세스를 취소하는 프로세스의 결함으로 인해 자격 증명을 손상시켰습니다.
설명 U1.1.11.
예를 들어, 사용자가 해고된 후에도 해당 계정은 차단 해제된 상태로 유지됩니다.

U1.2. <…> 출입 통제 시스템의 취약점을 악용하여.

U2. 정보 시스템에서 사용자 권한을 무단으로 상승시키는 행위

분해
U2.1 <…> 사용자 권한에 대한 정보가 포함된 데이터를 무단으로 변경합니다.

U2.2 <…> 접근 제어 시스템의 취약점을 이용합니다.

U2.3. <…> 사용자 액세스 관리 프로세스의 단점으로 인해.
설명 U2.3.
예 1. 사용자에게 비즈니스상의 이유로 필요한 것보다 더 많은 업무 액세스 권한이 부여되었습니다.
예시 2: 사용자가 다른 직위로 이동한 후에도 이전에 부여된 액세스 권한이 취소되지 않았습니다.

일반적인 위협 모델. 통합 모듈

위협 모델(범위)이 적용되는 보호 개체

통합 모듈은 정보 시스템 간의 정보 교환을 구성하도록 설계된 정보 인프라 객체 세트입니다.

기업 네트워크에서 하나의 정보 시스템을 다른 정보 시스템과 명확하게 분리하는 것이 항상 가능한 것은 아니라는 사실을 고려하면 통합 모듈은 하나의 정보 시스템 내의 구성 요소 간의 연결 링크로 간주될 수도 있습니다.

구조
통합 모듈의 일반화된 다이어그램은 다음과 같습니다.

건축 요소에 대한 설명:

• "교환 서버(SO)" – 다른 정보 시스템과 데이터를 교환하는 기능을 수행하는 정보 시스템의 노드/서비스/구성 요소입니다.
• "중재인" – 정보 시스템 간의 상호 작용을 구성하도록 설계된 노드/서비스이지만 정보 시스템의 일부는 아닙니다.
  예 "중개자" 이메일 서비스, 엔터프라이즈 서비스 버스(엔터프라이즈 서비스 버스/SoA 아키텍처), 타사 파일 서버 등이 있을 수 있습니다. 일반적으로 통합 모듈에는 "중개자"가 포함되지 않을 수 있습니다.
• "데이터 처리 소프트웨어" – 데이터 교환 프로토콜 및 형식 변환을 구현하는 프로그램 세트입니다.
  예를 들어 UFEBS 형식에서 ABS 형식으로 데이터를 변환하거나 전송 중 메시지 상태를 변경하는 등의 작업을 수행합니다.
• "네트워크 연결" 표준 "네트워크 연결" 위협 모델에 설명된 개체에 해당합니다. 위 다이어그램에 표시된 네트워크 연결 중 일부가 존재하지 않을 수 있습니다.

통합 모듈의 예

구성표 1. 타사 파일 서버를 통한 ABS 및 AWS KBR 통합

결제를 실행하기 위해 승인된 은행 직원은 핵심 뱅킹 시스템에서 전자 결제 문서를 다운로드하고 이를 파일 서버의 네트워크 폴더(...SHARE)에 파일(예: SQL 덤프와 같은 자체 형식)로 저장합니다. 그런 다음 이 파일은 변환기 스크립트를 사용하여 UFEBS 형식의 파일 세트로 변환된 다음 CBD 워크스테이션에서 읽습니다.
그 후, 자동화된 작업장 KBR의 사용자인 승인된 직원은 수신된 파일을 암호화하고 서명하여 러시아 은행의 결제 시스템으로 보냅니다.

러시아 은행으로부터 지불금을 받으면 KBR의 자동화된 작업 공간이 이를 해독하고 전자 서명을 확인한 후 파일 서버에 UFEBS 형식의 파일 세트 형태로 기록합니다. 지급 문서를 ABS로 가져오기 전에 변환기 스크립트를 사용하여 UFEBS 형식에서 ABS 형식으로 변환됩니다.

이 방식에서는 ABS가 하나의 물리적 서버에서 작동하고 KBR 워크스테이션이 전용 컴퓨터에서 작동하며 변환기 스크립트가 파일 서버에서 실행된다고 가정합니다.

고려된 다이어그램의 객체와 통합 모듈 모델의 요소의 대응:
“ABS 측 Exchange 서버” – ABS 서버.
“AWS KBR 측의 Exchange 서버” – 컴퓨터 워크스테이션 KBR.
"중재인" – 타사 파일 서버.
"데이터 처리 소프트웨어" – 변환기 스크립트.

구성표 2. AWS KBR에 결제가 포함된 공유 네트워크 폴더를 배치할 때 ABS와 AWS KBR 통합

모든 것이 Scheme 1과 유사하지만 별도의 파일서버를 사용하지 않고 대신 CBD 워크스테이션이 설치된 컴퓨터에 전자지불서류가 담긴 네트워크 폴더(...SHARE)를 배치한다. 변환기 스크립트는 CBD 워크스테이션에서도 작동합니다.

고려된 다이어그램의 객체와 통합 모듈 모델의 요소의 대응:
계획 1과 유사하지만 "중재인" 사용되지 않습니다.

계획 3. IBM WebSphera MQ를 통한 ABS 및 자동화된 작업장 KBR-N 통합 및 "ABS 측" 전자 문서 서명

ABS는 CIPF SCAD 서명이 지원되지 않는 플랫폼에서 작동합니다. 발신 전자 문서의 서명은 특수 전자 서명 서버(ES 서버)에서 수행됩니다. 동일한 서버가 러시아 은행에서 들어오는 문서의 전자 서명을 확인합니다.

ABS는 자체 형식의 지불 문서가 포함된 파일을 ES 서버에 업로드합니다.
ES 서버는 변환기 스크립트를 사용하여 파일을 UFEBS 형식의 전자 메시지로 변환한 후 전자 메시지가 서명되어 IBM WebSphere MQ로 전송됩니다.

KBR-N 워크스테이션은 IBM WebSphere MQ에 액세스하고 거기에서 서명된 결제 메시지를 수신한 후 KBR 워크스테이션 사용자인 승인된 직원이 이를 암호화하여 러시아 은행의 결제 시스템으로 보냅니다.

러시아 은행으로부터 지불금을 받으면 자동화된 작업장 KBR-N이 이를 해독하고 전자 서명을 확인합니다. UFEBS 형식의 해독 및 서명된 전자 메시지 형태로 성공적으로 처리된 지불은 전자 서명 서버가 수신하는 IBM WebSphere MQ로 전송됩니다.

전자서명 서버는 수신된 결제의 전자서명을 검증하여 ABS형식의 파일로 저장합니다. 그 후 승인된 직원(ABS 사용자)은 지정된 방식으로 결과 파일을 ABS에 업로드합니다.

고려된 다이어그램의 객체와 통합 모듈 모델의 요소의 대응:
“ABS 측 Exchange 서버” – ABS 서버.
“AWS KBR 측의 Exchange 서버” — 컴퓨터 워크스테이션 KBR.
"중재인" – ES 서버 및 IBM WebSphere MQ.
"데이터 처리 소프트웨어" – ES 서버의 스크립트 변환기, CIPF SCAD 서명.

Scheme 4. 전용 거래소 서버에서 제공하는 API를 통한 RBS 서버와 코어 ​​뱅킹 시스템의 통합

은행이 여러 원격 뱅킹 시스템(RBS)을 사용한다고 가정합니다.

• 개인용 "인터넷 클라이언트-은행"(IKB FL)
• 법인(IKB LE)을 위한 "인터넷 클라이언트-은행".

정보 보안을 보장하기 위해 ABS와 원격 뱅킹 시스템 간의 모든 상호 작용은 ABS 정보 시스템 프레임워크 내에서 작동하는 전용 교환 서버를 통해 수행됩니다.

다음으로 IKB LE의 RBS 시스템과 ABS 간의 상호작용 과정을 살펴보겠습니다.
클라이언트로부터 정식으로 인증된 지불 주문을 받은 RBS 서버는 이를 기반으로 ABS에 해당 문서를 생성해야 합니다. 이를 위해 API를 사용하여 교환 서버로 정보를 전송하고, 교환 서버는 해당 데이터를 ABS에 입력합니다.

고객의 계좌 잔고가 변경되면 ABS는 전자 알림을 생성하며, 이 알림은 교환 서버를 통해 원격 뱅킹 서버로 전송됩니다.

고려된 다이어그램의 객체와 통합 모듈 모델의 요소의 대응:
“RBS 측의 Exchange 서버” – IKB YUL의 RBS 서버.
“ABS 측 Exchange 서버” – 교환 서버.
"중재인" - 잃어버린.
"데이터 처리 소프트웨어" – Exchange Server API 사용을 담당하는 RBS 서버 구성 요소, 코어 뱅킹 API 사용을 담당하는 Exchange 서버 구성 요소입니다.

최고 수준의 보안 위협

분해
U1. 통합 모듈을 통해 공격자가 허위 정보를 주입하는 행위.

U1. 통합모듈을 통해 공격자에 의한 허위정보 주입

분해
U1.1. 네트워크 연결을 통해 전송되는 합법적인 데이터의 무단 수정:
U1.1.1 링크: “전형적인 위협 모델. 네트워크 연결. U2. 전송된 데이터의 무단 수정'.

U1.2. 합법적인 교환 참가자를 대신하여 통신 채널을 통해 허위 데이터 전송:
U1.1.2 링크: “전형적인 위협 모델. 네트워크 연결. U3. 전송된 데이터의 저작권 침해".

U1.3. Exchange Server 또는 중개자에서 처리하는 동안 합법적인 데이터를 무단으로 수정하는 경우:
U1.3.1. 링크: “전형적인 위협 모델. 클라이언트-서버 아키텍처를 기반으로 구축된 정보 시스템입니다. U2. 정보 시스템의 서버 부분에서 처리되는 동안 보호되는 정보를 무단으로 수정하는 행위".

U1.4. 합법적인 교환 참가자를 대신하여 Exchange 서버 또는 중개자에서 허위 데이터 생성:
U1.4.1. 링크: “전형적인 위협 모델. 클라이언트-서버 아키텍처를 기반으로 구축된 정보 시스템입니다. U1. 합법적인 사용자를 대신하여 공격자가 무단 작업을 수행합니다.”

U1.5. 데이터 처리 소프트웨어를 사용하여 처리할 때 데이터를 무단으로 수정하는 경우:
U1.5.1. <…> 공격자가 데이터 처리 소프트웨어의 설정(구성)을 무단으로 변경했기 때문입니다.
U1.5.2. <…> 공격자가 데이터 처리 소프트웨어의 실행 파일을 무단으로 변경했기 때문입니다.
U1.5.3. <…> 공격자가 데이터 처리 소프트웨어를 대화형으로 제어하기 때문입니다.

일반적인 위협 모델. 암호정보보호시스템

위협 모델(범위)이 적용되는 보호 개체

보호대상은 정보시스템의 보안을 확보하기 위해 사용되는 암호정보 보호시스템입니다.

구조
모든 정보 시스템의 기본은 목표 기능을 구현하는 응용 소프트웨어입니다.

암호화 보호는 일반적으로 특수 라이브러리(암호 코어)에 있는 애플리케이션 소프트웨어의 비즈니스 로직에서 암호화 기본 요소를 호출하여 구현됩니다.

암호화 기본 요소에는 다음과 같은 하위 수준 암호화 기능이 포함됩니다.

• 데이터 블록을 암호화/해독합니다.
• 데이터 블록의 전자 서명을 생성/검증합니다.
• 데이터 블록의 해시 함수를 계산합니다.
• 주요 정보 생성/로드/업로드
• 기타

애플리케이션 소프트웨어의 비즈니스 로직은 암호화 기본 요소를 사용하여 더 높은 수준의 기능을 구현합니다.

• 선택한 수신자의 키를 사용하여 파일을 암호화합니다.
• 보안 네트워크 연결을 설정합니다.
• 전자 서명 확인 결과를 알려줍니다.
• 등등.

비즈니스 로직과 암호화 코어의 상호작용은 다음과 같이 수행될 수 있습니다.

• 암호화 커널의 동적 라이브러리(Windows의 경우 .DLL, Linux의 경우 .SO)에서 암호화 기본 요소를 호출하는 비즈니스 로직을 통해 직접적으로
• 암호화 인터페이스(예: MS Crypto API, Java 암호화 아키텍처, PKCS#11 등의 래퍼)를 통해 직접. 이 경우 비즈니스 로직은 암호화 인터페이스에 액세스하고 호출을 해당 암호화 코어로 변환합니다. 이 경우를 암호화 공급자라고 합니다. 암호화 인터페이스를 사용하면 애플리케이션 소프트웨어가 특정 암호화 알고리즘을 추상화하고 더욱 유연해질 수 있습니다.

암호화 코어를 구성하는 데는 두 가지 일반적인 체계가 있습니다.

구성표 1 - 모놀리식 암호화 코어


구성표 2 – 암호화 코어 분할


위 다이어그램의 요소는 한 컴퓨터에서 실행되는 개별 소프트웨어 모듈이거나 컴퓨터 네트워크 내에서 상호 작용하는 네트워크 서비스일 수 있습니다.

구성표 1에 따라 구축된 시스템을 사용하는 경우 애플리케이션 소프트웨어와 암호화 코어는 단일 암호화 운영 환경(SFK) 내에서 작동합니다. 예를 들어 동일한 컴퓨터에서 동일한 운영 체제를 실행합니다. 시스템 사용자는 원칙적으로 동일한 운영 환경 내에서 악성 코드가 포함된 프로그램을 포함한 다른 프로그램을 실행할 수 있습니다. 이러한 상황에서는 개인 암호화 키가 유출될 심각한 위험이 있습니다.

위험을 최소화하기 위해 암호화 코어가 두 부분으로 나누어지는 방식 2가 사용됩니다.

1. 첫 번째 부분은 응용 소프트웨어와 함께 악성 코드에 감염될 위험이 있는 신뢰할 수 없는 환경에서 작동합니다. 우리는 이 부분을 “소프트웨어 부분”이라고 부르겠습니다.
2. 두 번째 부분은 개인 키 저장소가 포함된 전용 장치의 신뢰할 수 있는 환경에서 작동합니다. 이제부터는 이 부분을 '하드웨어'라고 부르겠습니다.

암호화 코어를 소프트웨어와 하드웨어 부분으로 나누는 것은 매우 임의적입니다. 암호화 코어가 분할된 방식에 따라 구축된 시스템이 시중에 나와 있지만 "하드웨어" 부분은 가상 머신 이미지인 가상 HSM(예).

암호화 코어의 두 부분의 상호 작용은 개인 암호화 키가 소프트웨어 부분으로 전송되지 않고 따라서 악성 코드를 사용하여 도난당할 수 없는 방식으로 발생합니다.

암호화 코어가 애플리케이션 소프트웨어에 제공하는 상호 작용 인터페이스(API)와 암호화 기본 요소 세트는 두 경우 모두 동일합니다. 차이점은 구현 방식에 있습니다.

따라서 분할된 암호화 코어가 있는 구성표를 사용할 때 소프트웨어와 하드웨어의 상호 작용은 다음 원칙에 따라 수행됩니다.

1. 개인 키 사용이 필요하지 않은 암호화 기본 요소(예: 해시 함수 계산, 전자 서명 확인 등)는 소프트웨어에 의해 수행됩니다.
2. 개인 키를 사용하는 암호화 기본 요소(전자 서명 생성, 데이터 암호 해독 등)는 하드웨어에서 수행됩니다.

전자 서명 생성의 예를 사용하여 분할된 암호화 코어의 작업을 설명하겠습니다.

1. 소프트웨어 부분은 서명된 데이터의 해시 함수를 계산하고 이 값을 암호화 코어 간의 교환 채널을 통해 하드웨어로 전송합니다.
2. 하드웨어 부분은 개인 키와 해시를 사용하여 전자 서명의 값을 생성하고 이를 교환 채널을 통해 소프트웨어 부분으로 전송합니다.
3. 소프트웨어 부분은 수신된 값을 응용 소프트웨어에 반환합니다.

전자 서명의 정확성을 확인하는 기능

수신 당사자가 전자 서명된 데이터를 수신하면 몇 가지 확인 단계를 수행해야 합니다. 모든 확인 단계가 성공적으로 완료된 경우에만 전자 서명 확인의 긍정적인 결과를 얻을 수 있습니다.

1단계. 데이터 무결성 및 데이터 저작자 통제.

무대 내용. 데이터의 전자 서명은 적절한 암호화 알고리즘을 사용하여 확인됩니다. 이 단계가 성공적으로 완료되면 데이터가 서명된 순간부터 수정되지 않았음을 의미하며, 전자서명 검증을 위한 공개키에 해당하는 개인키로 서명이 이루어졌음을 의미합니다.
무대 위치: 암호화 코어.

2단계. 서명자의 공개 키에 대한 신뢰 제어 및 전자 서명의 개인 키 유효 기간 제어.
무대 내용. 스테이지는 두 개의 중간 하위 스테이지로 구성됩니다. 첫 번째는 데이터 서명 당시 전자서명을 확인하기 위한 공개키를 신뢰했는지 여부를 판단하는 것이다. 두 번째는 전자 서명의 개인 키가 데이터 서명 당시 유효한지 여부를 확인합니다. 일반적으로 이러한 키의 유효 기간은 일치하지 않을 수 있습니다(예: 전자 서명 확인 키의 적격 인증서). 서명자의 공개 키에 대한 신뢰를 구축하는 방법은 상호 작용 당사자가 채택한 전자 문서 관리 규칙에 따라 결정됩니다.
무대 위치: 애플리케이션 소프트웨어/암호화 코어.

3단계. 서명자의 권한 통제.
무대 내용. 전자문서관리에 관한 규정에 따라 서명인이 보호받는 데이터에 대한 인증권한을 가지고 있는지를 확인합니다. 예를 들어 권위를 위반하는 상황을 생각해 보겠습니다. 모든 직원이 전자 서명을 갖고 있는 조직이 있다고 가정해 보겠습니다. 내부 전자문서관리시스템은 관리자로부터 주문을 받지만 창고관리자의 전자서명으로 서명한다. 따라서 그러한 문서는 합법적인 것으로 간주될 수 없습니다.
무대 위치: 응용 소프트웨어.

보호 대상을 설명할 때 가정한 내용

1. 키 교환 채널을 제외한 정보 전송 채널도 애플리케이션 소프트웨어, API 및 암호화 코어를 통과합니다.
2. 공개 키 및/또는 인증서의 신뢰에 대한 정보와 공개 키 소유자의 권한에 대한 정보는 공개 키 저장소에 저장됩니다.
3. 애플리케이션 소프트웨어는 암호화 커널을 통해 공개 키 저장소와 함께 작동합니다.

CIPF를 사용하여 보호되는 정보 시스템의 예

이전에 제시된 다이어그램을 설명하기 위해 가상의 정보 시스템을 고려하고 그 시스템의 모든 구조적 요소를 강조해 보겠습니다.

정보시스템 설명

두 조직은 법적으로 중요한 전자문서관리(EDF)를 상호 도입하기로 결정했습니다. 이를 위해 그들은 문서가 이메일로 전송되고 동시에 암호화되고 적격 전자 서명으로 서명되어야 한다고 규정하는 계약을 체결했습니다. Microsoft Office 2016 패키지의 Office 프로그램은 문서 생성 및 처리 도구로 사용해야 하며, CIPF CryptoPRO 및 암호화 소프트웨어 CryptoARM은 암호화 보호 수단으로 사용해야 합니다.

조직의 인프라에 대한 설명 1

조직 1은 사용자의 워크스테이션, 즉 물리적 컴퓨터에 CIPF CryptoPRO 및 CryptoARM 소프트웨어를 설치하기로 결정했습니다. 암호화 및 전자 서명 키는 검색 가능한 키 모드에서 작동하는 ruToken 키 미디어에 저장됩니다. 사용자는 자신의 컴퓨터에서 로컬로 전자 문서를 준비한 다음 로컬에 설치된 이메일 클라이언트를 사용하여 암호화, 서명 및 전송합니다.

조직의 인프라에 대한 설명 2

조직 2는 암호화 및 전자 서명 기능을 전용 가상 머신으로 이전하기로 결정했습니다. 이 경우 모든 암호화 작업이 자동으로 수행됩니다.

이를 위해 전용 가상 머신에 "...In", "...Out"이라는 두 개의 네트워크 폴더가 구성됩니다. 공개 형식으로 상대방으로부터 받은 파일은 자동으로 네트워크 폴더 "...In"에 배치됩니다. 이러한 파일은 암호가 해독되고 전자 서명이 확인됩니다.

사용자는 암호화, 서명 및 상대방에게 전송해야 하는 파일을 "...Out" 폴더에 배치합니다. 사용자는 자신의 워크스테이션에서 파일을 직접 준비합니다.
암호화 및 전자 서명 기능을 수행하기 위해 CIPF CryptoPRO, CryptoARM 소프트웨어 및 이메일 클라이언트가 가상 머신에 설치됩니다. 가상 머신의 모든 요소에 대한 자동 관리는 시스템 관리자가 개발한 스크립트를 사용하여 수행됩니다. 스크립트 작업은 로그 파일에 기록됩니다.

전자 서명을 위한 암호화 키는 검색 불가능한 JaCarta GOST 키가 포함된 토큰에 배치되며, 사용자는 이 키를 로컬 컴퓨터에 연결하게 됩니다.

토큰은 사용자의 워크스테이션과 가상 머신에 설치된 특수 USB-over-IP 소프트웨어를 사용하여 가상 머신으로 전달됩니다.

조직 1에 있는 사용자 워크스테이션의 시스템 시계는 수동으로 조정됩니다. 조직 2의 전용 가상 머신의 시스템 시계는 하이퍼바이저 시스템 시계와 동기화되며, 이는 다시 인터넷을 통해 공용 시간 서버와 동기화됩니다.

CIPF의 구조 요소 식별
위의 IT 인프라 설명을 바탕으로 CIPF의 구조적 요소를 강조하여 표로 작성하겠습니다.

표 - 정보 시스템 요소에 대한 CIPF 모델 요소의 대응

상품명
조직 1
조직 2

응용 소프트웨어
CryptoARM 소프트웨어
CryptoARM 소프트웨어

암호화 코어의 소프트웨어 부분
CIPF CryptoPRO CSP
CIPF CryptoPRO CSP

암호화 코어 하드웨어
아니
자카르타 GOST

API
MS 암호화API
MS 암호화API

공개 키 저장소
사용자의 워크스테이션:
- HDD;
- 표준 Windows 인증서 저장소.
하이퍼바이저:
- HDD.

가상 기기:
- HDD;
- 표준 Windows 인증서 저장소.

개인 키 저장소
검색 가능한 키 모드에서 작동하는 ruToken 키 캐리어
분리 불가능한 키 모드에서 작동하는 JaCarta GOST 키 캐리어

공개 키 교환 채널
사용자의 워크스테이션:
- 램.

하이퍼바이저:
- 램.

가상 기기:
- 램.

개인 키 교환 채널
사용자의 워크스테이션:
— USB 버스;
- 램.
아니

암호화 코어 간 교환 채널
누락(암호화 코어 하드웨어 없음)
사용자의 워크스테이션:
— USB 버스;
- 램;
— USB-over-IP 소프트웨어 모듈;
- 네트워크 인터페이스.

조직의 기업 네트워크 2.

하이퍼바이저:
- 램;
- 네트워크 인터페이스.

가상 기기:
- 네트워크 인터페이스;
- 램;
— USB-over-IP 소프트웨어 모듈.

오픈 데이터 채널
사용자의 워크스테이션:
- 입출력 수단;
- 램;
- HDD.
사용자의 워크스테이션:
- 입출력 수단;
- 램;
- HDD;
- 네트워크 인터페이스.

조직의 기업 네트워크 2.

하이퍼바이저:
- 네트워크 인터페이스;
- 램;
- HDD.

가상 기기:
- 네트워크 인터페이스;
- 램;
- HDD.

안전한 데이터 교환 채널
인터넷.

조직의 기업 네트워크 1.

사용자의 워크스테이션:
- HDD;
- 램;
- 네트워크 인터페이스.

인터넷.

조직의 기업 네트워크 2.

하이퍼바이저:
- 네트워크 인터페이스;
- 램;
- HDD.

가상 기기:
- 네트워크 인터페이스;
- 램;
- HDD.

시간 채널
사용자의 워크스테이션:
- 입출력 수단;
- 램;
- 시스템 타이머.

인터넷.
조직 2의 기업 네트워크,

하이퍼바이저:
- 네트워크 인터페이스;
- 램;
- 시스템 타이머.

가상 기기:
- 램;
- 시스템 타이머.

제어 명령 전송 채널
사용자의 워크스테이션:
- 입출력 수단;
- 램.

(CryptoARM 소프트웨어의 그래픽 사용자 인터페이스)

가상 기기:
- 램;
- HDD.

(자동화 스크립트)

업무결과 수신채널
사용자의 워크스테이션:
- 입출력 수단;
- 램.

(CryptoARM 소프트웨어의 그래픽 사용자 인터페이스)

가상 기기:
- 램;
- HDD.

(자동화 스크립트의 로그 파일)

최고 수준의 보안 위협

설명

위협을 분해할 때 가정한 사항:

1. 강력한 암호화 알고리즘이 사용됩니다.
2. 암호화 알고리즘은 올바른 작동 모드에서 안전하게 사용됩니다(예: ECB 대용량 데이터를 암호화하는 데 사용되지 않는 경우, 키에 허용되는 로드 등이 고려되는 경우).
3. 공격자는 사용된 모든 알고리즘, 프로토콜 및 공개 키를 알고 있습니다.
4. 공격자는 암호화된 모든 데이터를 읽을 수 있습니다.
5. 공격자는 시스템의 모든 소프트웨어 요소를 복제할 수 있습니다.

분해

U1. 개인 암호화 키가 손상되었습니다.
U2. 합법적인 발신자를 대신하여 가짜 데이터를 암호화합니다.
U3. 데이터의 합법적인 수신자가 아닌 사람(공격자)이 암호화된 데이터를 해독합니다.
U4. 허위 데이터로 합법적인 서명자의 전자 서명 생성.
U5. 위조된 데이터의 전자서명을 확인한 결과 긍정적인 결과를 얻었습니다.
U6. 전자문서 흐름 정리 문제로 인해 실행을 위한 전자문서 승인 오류.
U7. CIPF가 처리하는 동안 보호된 데이터에 대한 무단 액세스.

U1. 개인 암호화 키의 손상

U1.1. 개인 키 저장소에서 개인 키를 검색합니다.

U1.2. 일시적으로 상주할 수 있는 암호화 도구의 운영 환경에 있는 객체로부터 개인 키를 얻습니다.
설명 U1.2.

개인 키를 임시로 저장할 수 있는 개체는 다음과 같습니다.

1. 램,
2. 임시 파일,
3. 파일 교환,
4. 최대 절전 모드 파일,
5. 일시 중지된 가상 머신의 RAM 내용 파일을 포함하여 가상 머신의 "핫" 상태에 대한 스냅샷 파일.

U1.2.1. RAM 모듈을 동결하고 제거한 다음 데이터를 읽어 작동 중인 RAM에서 개인 키를 추출합니다(동결 공격).
설명 U1.2.1.
예 공격.

U1.3. 개인 키 교환 채널에서 개인 키를 얻습니다.
설명 U1.3.
이 위협 구현의 예가 제공됩니다. 이하.

U1.4. 암호화 코어의 무단 수정으로 인해 개인 키가 공격자에게 알려지게 됩니다.

U1.5. 기술 정보 유출 채널(TCIL) 사용으로 인해 개인 키가 손상되었습니다.
설명 U1.5.
예 공격.

U1.6. 비밀리에 정보를 검색하기 위해 설계된 특수 기술 수단(STS)의 사용으로 인해 개인 키가 손상되었습니다(“버그”).

U1.7. CIPF 외부에 개인 키를 저장하는 동안 개인 키가 손상되었습니다.
설명 U1.7.
예를 들어, 사용자는 공격자가 쉽게 검색할 수 있는 데스크탑 서랍에 주요 미디어를 저장합니다.

U2. 합법적인 발신자를 대신하여 가짜 데이터 암호화

설명
이 위협은 보낸 사람 인증을 사용하는 데이터 암호화 체계에 대해서만 고려됩니다. 이러한 계획의 예는 표준화 권장 사항에 나와 있습니다. R 1323565.1.004-2017 “정보 기술. 암호화 정보 보호. 공개키 기반 인증으로 공개키를 생성하는 방식". 다른 암호화 방식의 경우 암호화가 수신자의 공개 키에 대해 수행되고 일반적으로 공격자에게 알려져 있기 때문에 이러한 위협은 존재하지 않습니다.

분해
U2.1. 발신자의 개인 키 손상:
U2.1.1. 링크: “전형적인 위협 모델. 암호화 정보 보호 시스템У1. 개인 암호화 키 손상'.

U2.2. 개방형 데이터 교환 채널에서 입력 데이터를 대체합니다.
참고사항 U2.2.
이 위협의 구현 예는 다음과 같습니다. 여기에 и 여기에.

U3. 데이터의 합법적인 수신자가 아닌 사람(공격자)에 의한 암호화된 데이터의 암호 해독

분해
U3.1. 암호화된 데이터 수신자의 개인 키가 손상되었습니다.
U3.1.1 링크: “전형적인 위협 모델. 암호화 정보 보호 시스템. U1. 개인 암호화 키 손상'.

U3.2. 안전한 데이터 교환 채널에서 암호화된 데이터를 대체합니다.

U4. 허위 데이터로 합법적인 서명자의 전자 서명 생성

분해
U4.1. 합법적인 서명자의 전자 서명에 대한 개인 키가 손상되었습니다.
U4.1.1 링크: “전형적인 위협 모델. 암호화 정보 보호 시스템. U1. 개인 암호화 키 손상'.

U4.2. 개방형 데이터 교환 채널에서 서명된 데이터를 대체합니다.
U4.2를 참고하세요.
이 위협의 구현 예는 다음과 같습니다. 여기에 и 여기에.

U5. 위조자료 전자서명 확인 결과 양성 판정

분해
U5.1. 공격자는 전자서명을 확인한 결과 부정적인 결과에 대한 작업결과 전송채널의 메시지를 가로채서 긍정적인 결과가 나온 메시지로 대체한다.

U5.2. 공격자는 인증서 서명의 신뢰를 공격합니다(스크립트 - 모든 요소가 필요합니다.):
U5.2.1. 공격자는 전자 서명을 위해 공개 키와 개인 키를 생성합니다. 시스템이 전자 서명 키 인증서를 사용하는 경우 위조하려는 메시지의 데이터 발신자의 인증서와 최대한 유사한 전자 서명 인증서를 생성합니다.
U5.2.2. 공격자는 공개 키 저장소를 무단으로 변경하여 필요한 수준의 신뢰와 권한을 생성하는 공개 키를 제공합니다.
U5.2.3. 공격자는 이전에 생성된 전자 서명 키를 사용하여 허위 데이터에 서명하고 이를 보안 데이터 교환 채널에 삽입합니다.

U5.3. 공격자는 법정서명인의 만료된 전자서명키를 이용하여 공격을 수행한다.스크립트 - 모든 요소가 필요합니다.):
U5.3.1. 공격자는 합법적인 발신자의 전자 서명이 만료된(현재 유효하지 않은) 개인 키를 손상시킵니다.
U5.3.2. 공격자는 시간 전송 채널의 시간을 손상된 키가 여전히 유효한 시간으로 바꿉니다.
U5.3.3. 공격자는 이전에 훼손된 전자 서명 키를 사용하여 허위 데이터에 서명하고 이를 보안 데이터 교환 채널에 주입합니다.

U5.4. 공격자는 법정서명인의 훼손된 전자서명키를 이용하여 공격을 수행한다.스크립트 - 모든 요소가 필요합니다.):
U5.4.1. 공격자는 공개 키 저장소의 복사본을 만듭니다.
U5.4.2. 공격자는 합법적인 보낸 사람 중 한 사람의 개인 키를 손상시킵니다. 그는 손상을 인지하고 키를 취소하며 키 취소에 대한 정보는 공개 키 저장소에 저장됩니다.
U5.4.3. 공격자는 공개 키 저장소를 이전에 복사한 저장소로 교체합니다.
U5.4.4. 공격자는 이전에 훼손된 전자 서명 키를 사용하여 허위 데이터에 서명하고 이를 보안 데이터 교환 채널에 주입합니다.

U5.5. <…> 전자 서명 확인 2단계 및 3단계 구현 중 오류가 발생하여 다음과 같은 문제가 발생했습니다.
설명 U5.5.
이 위협 구현의 예가 제공됩니다. 이하.

U5.5.1. CRL 또는 OCSP 검사 없이 서명된 인증서에 대한 신뢰 존재만으로 전자 서명 키 인증서에 대한 신뢰를 확인합니다.
설명 U5.5.1.
구현 예 위협.

U5.5.2. 인증서에 대한 신뢰 체인을 구축할 때 인증서 발급 기관이 분석되지 않습니다.
설명 U5.5.2.
SSL/TLS 인증서에 대한 공격의 예입니다.
공격자는 이메일에 대한 합법적인 인증서를 구입했습니다. 그런 다음 사기 사이트 인증서를 만들고 인증서로 서명했습니다. 자격 증명을 확인하지 않으면 신뢰 체인을 확인할 때 올바른 것으로 판명되고 그에 따라 사기 인증서도 정확하게 됩니다.

U5.5.3. 인증서 신뢰 체인을 구축할 때 중간 인증서의 해지를 확인하지 않습니다.

U5.5.4. CRL은 인증 기관에서 발급하는 것보다 업데이트 빈도가 낮습니다.

U5.5.5. 전자 서명을 신뢰한다는 결정은 인증서 상태에 대한 OCSP 응답이 수신되기 전에 이루어지며, 서명이 생성된 시간 이후 또는 서명이 생성된 후 다음 CRL보다 이전에 이루어진 요청에 대해 전송됩니다.
설명 U5.5.5.
대부분의 CA 규정에서는 인증서 폐기 시점을 인증서 폐기에 대한 정보가 포함된 가장 가까운 CRL이 발행된 시점으로 간주합니다.

U5.5.6. 서명된 데이터를 수신할 때 보낸 사람에게 속한 인증서는 확인되지 않습니다.
설명 U5.5.6.
공격의 예. SSL 인증서와 관련하여: 호출된 서버 주소와 인증서의 CN 필드 값의 일치 여부가 확인되지 않을 수 있습니다.
공격의 예. 공격자는 결제 시스템 참여자 중 한 명의 전자 서명 키를 손상시켰습니다. 그 후 그들은 다른 참가자의 네트워크를 해킹하고 그를 대신하여 손상된 키로 서명된 결제 문서를 결제 시스템의 결제 서버로 보냈습니다. 서버가 신뢰만 분석하고 준수 여부는 확인하지 않는 경우 사기 문서는 합법적인 것으로 간주됩니다.

U6. 전자문서 흐름 정리 문제로 인해 실행을 위한 전자문서 승인 오류.

분해
U6.1. 수신측에서는 수신된 문서의 중복을 감지하지 못합니다.
설명 U6.1.
공격의 예. 공격자는 문서가 암호화되어 보호되어 있더라도 수신자에게 전송되는 문서를 가로채 안전한 데이터 전송 채널을 통해 반복적으로 보낼 수 있습니다. 수신자가 중복 문서를 식별하지 못하는 경우 수신된 모든 문서는 다른 문서로 인식되어 처리됩니다.

U7. CIPF가 처리하는 동안 보호된 데이터에 대한 무단 액세스

분해

U7.1. <… > 사이드 채널을 통한 정보 유출(사이드 채널 공격)로 인해.
설명 U7.1.
예 공격.

U7.2. <…> CIPF에서 처리되는 정보에 대한 무단 접근에 대한 보호 무력화로 인해:
U7.2.1. CIPF 문서에 설명된 요구 사항을 위반하여 CIPF를 운영합니다.

U7.2.2. <…> 다음 취약점으로 인해 수행되었습니다.
U7.2.2.1. <…> 무단 액세스로부터 보호하는 수단입니다.
U7.2.2.2. <… > CIPF 자체.
U7.2.2.3. <…> 암호화 도구의 운영 환경.

공격의 예

아래에 설명된 시나리오에는 분명히 정보 보안 오류가 포함되어 있으며 가능한 공격을 설명하기 위한 용도로만 사용됩니다.

시나리오 1. 위협 U2.2 및 U4.2 구현의 예.

개체에 대한 설명


AWS KBR 소프트웨어 및 CIPF SCAD 서명은 컴퓨터 네트워크에 연결되지 않은 물리적 컴퓨터에 설치됩니다. FKN vdToken은 제거할 수 없는 키로 작업하는 모드에서 키 캐리어로 사용됩니다.

정산 규정은 정산 전문가가 자신의 업무 컴퓨터에서 특수 보안 파일 서버로부터 전자 메시지를 일반 텍스트(기존 KBR 워크스테이션의 방식)로 다운로드한 다음 이를 전송 가능한 USB 플래시 드라이브에 기록하고 KBR 워크스테이션으로 전송한다고 가정합니다. 암호화되어 서명된 곳입니다. 그 후 전문가는 안전한 전자 메시지를 소외된 매체로 전송한 다음 업무용 컴퓨터를 통해 파일 서버에 기록하고 UTA로 이동한 다음 러시아 은행의 결제 시스템으로 이동합니다.

이 경우 공개 및 보호된 데이터를 교환하기 위한 채널에는 파일 서버, 전문가의 업무용 컴퓨터 및 소외된 미디어가 포함됩니다.

공격
무단 공격자는 전문가의 업무용 컴퓨터에 원격 제어 시스템을 설치하고 전송 가능한 매체에 지불 주문(전자 메시지)을 작성할 때 그 중 하나의 내용을 일반 텍스트로 대체합니다. 전문가는 지불 주문을 KBR 자동화 작업장으로 전송하고 대체를 알지 못한 채 서명 및 암호화합니다(예: 비행 중 많은 지불 주문, 피로 등으로 인해). 그 후, 기술 체인을 통과한 가짜 지불 주문이 러시아 은행의 지불 시스템에 들어갑니다.

시나리오 2. 위협 U2.2 및 U4.2 구현의 예.

개체에 대한 설명


워크스테이션 KBR, SCAD Signature 및 연결된 키 캐리어 FKN vdToken이 설치된 컴퓨터는 직원의 접근 없이 전용 공간에서 작동합니다.
계산 전문가는 RDP 프로토콜을 통해 원격 액세스 모드로 CBD 워크스테이션에 연결합니다.

공격
공격자는 계산 전문가가 CBD 워크스테이션에 연결하고 작업하는 데 사용되는 세부 정보를 가로챕니다(예: 컴퓨터의 악성 코드를 통해). 그런 다음 그들은 그를 대신하여 러시아 은행 지불 시스템에 가짜 지불 주문을 보냅니다.

시나리오 3. 위협 구현의 예 U1.3.

개체에 대한 설명


보내는 문서의 전자 서명이 ABS 측에서 발생하는 새로운 체계(AWS KBR-N)에 대한 ABS-KBR 통합 모듈을 구현하기 위한 가상 옵션 중 하나를 고려해 보겠습니다. 이 경우 ABS는 CIPF SKAD Signature에서 지원하지 않는 운영 체제를 기반으로 작동하므로 암호화 기능이 별도의 가상 머신인 "ABS-KBR" 통합으로 전송된다고 가정합니다. 기준 치수.
검색 가능한 키 모드에서 작동하는 일반 USB 토큰이 키 캐리어로 사용됩니다. 키 미디어를 하이퍼바이저에 연결했을 때 시스템에 사용 가능한 USB 포트가 없는 것으로 확인되어 네트워크 USB 허브를 통해 USB 토큰을 연결하고 가상에 USB-over-IP 클라이언트를 설치하기로 결정했습니다. 허브와 통신하는 기계입니다.

공격
공격자는 USB 허브와 하이퍼바이저 사이의 통신 채널에서 전자 서명의 개인 키를 가로채었습니다(데이터는 일반 텍스트로 전송되었습니다). 공격자는 개인 키를 가지고 가짜 지불 주문을 생성하고 전자 서명으로 서명한 후 실행을 위해 KBR-N 자동화 작업장으로 보냈습니다.

시나리오 4. 위협 구현의 예 U5.5.

개체에 대한 설명
이전 시나리오와 동일한 회로를 고려해 보겠습니다. KBR-N 워크스테이션에서 오는 전자 메시지는 ...SHAREIn 폴더에 들어가고 KBR-N 워크스테이션과 러시아 은행의 결제 시스템으로 전송된 전자 메시지는 ...SHAREout으로 이동한다고 가정합니다.
또한 통합 모듈을 구현할 때 폐기된 인증서 목록은 암호화 키가 재발행된 경우에만 업데이트되며, ...SHAREIn 폴더에 수신된 전자 메시지는 공개 키의 무결성 제어 및 신뢰 제어에 대해서만 확인된다고 가정합니다. 전자 서명.

공격

공격자는 이전 시나리오에서 훔친 키를 사용하여 사기 클라이언트의 계좌로 돈을 받았다는 정보가 포함된 가짜 지불 주문에 서명하고 이를 보안 데이터 교환 채널에 도입했습니다. 지불 주문이 러시아 은행에 의해 서명되었다는 확인이 없으므로 실행이 허용됩니다.

출처 : habr.com