ProHoster > Blog > Administrimi > Siguria informative e pagesave bankare pa para. Pjesa 8 — Modelet standarde tĂ« kĂ«rcĂ«nimeve

Siguria informative e pagesave bankare pa para. Pjesa 8 — Modelet standarde tĂ« kĂ«rcĂ«nimeve

Siguria informative e pagesave bankare pa para. Pjesa 8 — Modelet standarde tĂ« kĂ«rcĂ«nimeve
ÇfarĂ« Ă«shtĂ« studimi

Lidhjet me pjesë të tjera të studimit

Ky artikull përfundon ciklin e publikimeve bardhë e zi që fokusohet në sigurimin e sigurisë informative për pagesat bankare pa para. Këtu ne do të shqyrtojmë modelet tipike të kërcënimeve, për të cilat u referuam në modelin bazë:

HABRO-WARNING !!! Të dashur habrovçanë, ky nuk është një postim argëtues.
Materialet e fshehura nën katin 40+ faqe janë thënë për të ndihmuar në punë ose studim personat që specializohen në bankari ose sigurimin e sigurisë informative. Këto materiale janë produkti përfundimtar i studimit dhe janë shkruar në një ton të zymtë zyrtar. Në thelb, këto janë skema për dokumente të brendshme mbi Sigurimin e Informacionit.

Dhe tradicionale — «pĂ«rdorimi i informacioneve nga ky artikull pĂ«r qĂ«llime tĂ« paligjshme Ă«shtĂ« nĂ« pĂ«rputhje me ligjin». Lexim produktiv!


Informata për lexuesit që po njihen me studimin, duke filluar nga kjo publikim.

ÇfarĂ« Ă«shtĂ« studimi

Po lexoni një udhëzim për specialistin e përgjegjshëm për sigurimin e sigurisë informative për pagesat në bankë.

Logjika e përshkrimit

Në fillim në pjesa 1 dhe pjesa 2 ndodhet një përshkrim i objektit të mbrojtjes. Pastaj në pjesën 3 tregohet se si të ndërtoni sistemin e mbrojtjes, dhe flitet për nevojën e formimit të modelit të kërcënimeve. Në pjesën 4 tregohet se cilat modele kërcënimesh ekzistojnë dhe si formohen ato. Në pjesën 5 dhe pjesën 6 jepen analiza të sulmeve reale. Pjesa 7 dhe pjesa 8 përmbajnë përshkrimin e modelit të kërcënimeve, të ndërtuar duke marrë parasysh informacionet nga të gjitha pjesët e mëparshme.

MODELI TIPIK I KËRCËNIMEVE. LIDHJA RRJETORE

Objekti i mbrojtjes, për të cilin aplikohet modeli i kërcënimeve (scope)

Objekti i mbrojtjes janë të dhënat që transmetohen përmes lidhjes rrjetore, që funksionon në rrjetet e transmetimit të të dhënave, të ndërtuara mbi bazën e stekës TCP/IP.

Arkitektura

Siguria informative e pagesave bankare pa para. Pjesa 8 — Modelet standarde tĂ« kĂ«rcĂ«nimeve

Përshkrimi i elementeve të arkitekturës:

  • «Pikat fundore» — nyjet qĂ« shkĂ«mbejnĂ« informacionin e mbrojtur.
  • «Nyjet ndĂ«rmjetĂ«s» — elementĂ«t e rrjetit tĂ« transmetimit tĂ« tĂ« dhĂ«nave: ruterĂ«t, switch-at, serverĂ«t e aksesi, proxy-serverĂ«t dhe pajisje tĂ« tjera, pĂ«rmes tĂ« cilave kalon trafiku i lidhjes rrjetore. NĂ« pĂ«rgjithĂ«si, njĂ« lidhje rrjetore mund tĂ« funksionojĂ« pa nyje ndĂ«rmjetĂ«s (drejt midis pikave fundore).

Kërcënime për sigurinë në nivelin e lartë

Dekompocimi

U1. Qasja e paautorizuar në të dhënat e transmetuara.
U2. Modifikimi i paautorizuar i të dhënave të transmetuara.
U3. Shkelja e autorësisë së të dhënave të transmetuara.

U1. Qasja e paautorizuar në të dhënat e transmetuara

Dekompocimi
U1.1. , e realizuar në nyjet fundore ose ndërmjetëse:
U1.1.1. duke lexuar të dhënat ndërsa ato gjenden në pajisjet e ruajtjes të nyjës:
U1.1.1.1. në memorie operative.
Shpjegimet për U1.1.1.1.
Për shembull, gjatë përpunimit të të dhënave nga steka rrjetore e nyjës.

U1.1.1.2. në memorien e paenergjetike.
Shpjegimet për U1.1.1.2.
Për shembull, duke ruajtur të dhënat e transmetuara në cache, skedarë të përkohshëm ose skedarë swap.

U1.2. , e realizuar në nyjet e palëve të treta të rrjetit të transmetimit të të dhënave:
U1.2.1. me metodën e kapjes së të gjitha paketave që kalojnë në ndërfaqen rrjetore të nyjës:
Shpjegimet për U1.2.1.
Kapja e të gjitha paketimeve realizohet duke kaluar kartën rrjetore në modalitetin joshkëmbues (promiscuous mode për adapterët e kabllit ose në modalitetin monitor për adapterët wi-fi).

U1.2.2. duke realizuar sulme të tipit "njeri në mes (MiTM)", por pa modifikimin e të dhënave të transmetuara (përveç të dhënave shërbyese të protokollit rrjetor).
U1.2.2.1. Lidhja: «Modeli standard i kërcënimeve. Shkëmbimi i të dhënave. U2. Modifikimi i paautorizuar i të dhënave të transmetuara».

U1.3. , realizuar përmes rrjedhjes së informacionit përmes kanaleve teknike (TKUI) nga nyjet fizike ose linjat e komunikimit.

U1.4. , realizuar përmes instalimeve në nyjet e fundit ose të ndërmjetme të mjeteve teknike speciale (STS), të destinuara për marrjen e fshehtë të informacionit.

U2. Modifikimi i paautorizuar i të dhënave të transmetuara

Dekompocimi
U2.1. , i realizuar në nyjet e fundit ose të ndërmjetme:
U2.1.1. nëpërmjet leximit dhe modifikimit të të dhënave gjatë qëndrimit të tyre në pajisjet ruajtëse të nyjeve:
U2.1.1.1. në memorjen operativë:
U2.1.1.2. në memorjen e energjisë së pavarur:

U2.2. , e realizuar në nyjet e jashtme të rrjetit të transmetimit të të dhënave:
U2.2.1. përmes kryerjes së sulmeve të tipit "njeri në mes (MiTM)" dhe ridrejtimin e trafikut në nyjen e keqbërësve:
U2.2.1.1. Lidheni fizike e pajisjeve të keqbërësve në ndërprerjen e lidhjes rrjet.
U2.2.1.2. Kryerja e sulmeve ndaj protokolleve të rrjetit:
U2.2.1.2.1. menaxhimi i rrjeteve lokale virtuale (VLAN):
U2.2.1.2.1.1. VLAN hopping.
U2.2.1.2.1.2. Modifikimi i paautorizuar i cilësimeve VLAN në switch-e ose router-a.
U2.2.1.2.2. rrugës së trafikut:
U2.2.1.2.2.1. Modifikimi i paautorizuar i tabelave të rrugëtimit statik të router-ave.
U2.2.1.2.2.2. Anonse të rreme nga keqbërësit për trajtat përmes protokolleve të rrugëtimit dinamik.
U2.2.1.2.3. konfigurimi automatik:
U2.2.1.2.3.1. Rogue DHCP.
U2.2.1.2.3.2. Rogue WPAD.
U2.2.1.2.4. adresimi dhe zgjidhja e emrave:
U2.2.1.2.4.1. ARP spoofing.
U2.2.1.2.4.2. DNS spoofing.
U2.2.1.2.4.3. Futja e ndryshimeve të paautorizuara në skedarët lokalë të emrave të nyjeve (hosts, lmhosts etj.)

U3. Shkelja e autorësisë së të dhënave të transmetuara

Dekompocimi
U3.1. Neutralizimi i mekanizmave të njohjes së autorësisë së informacionit përmes përcaktimit të të dhënave të rreme mbi autorin ose burimin e informacionit:
U3.1.1. Ndryshimi i të dhënave mbi autorin që përmbahen në informacionin e transmetuar.
U3.1.1.1. Neutralizimi i mbrojtjes kriptografike të integritetit dhe autorësisë së të dhënave të transmetuara:
U3.1.1.1.1. Referencë: «Modeli standard i kërcënimeve. Sistemi i mbrojtjes kriptografike të informacionit.
U4. Krijimi i nënshkrimit elektronik të nënshkrusit legjitim mbi të dhëna të rreme».
U3.1.1.2. Neutralizimi i mbrojtjes së autorësisë së të dhënave të transmetuara, realizuar përmes kodeve një herë konfirmimi:
U3.1.1.2.1. SIM swap.

U3.1.2. Ndryshimi i të dhënave mbi burimin e informacionit të transmetuar:
U3.1.2.1. IP spoofing.
U3.1.2.2. MAC spoofing.

MODEL STANDARD TË KËRCËNIMEVE. SISTEMI INFORMACIONI BAZUAR NË ARKITEKTURËN KLIENT-SERVER

Objekti i mbrojtjes, për të cilin aplikohet modeli i kërcënimeve (scope)

Objekti i mbrojtjes është sistemi informacioni, i ndërtuar mbi bazën e arkitekturës klient-server.

Arkitektura
Siguria informative e pagesave bankare pa para. Pjesa 8 — Modelet standarde tĂ« kĂ«rcĂ«nimeve

Përshkrimi i elementeve të arkitekturës:

  • «Klienti» – pajisja ku funksionon pjesa klient e sistemit informacionit.
  • «Server» – pajisja ku funksionon pjesa server e sistemit informacionit.
  • «Depo e tĂ« dhĂ«nave» — pjesa e infrastrukturĂ«s sĂ« serverit tĂ« sistemit informacionit, e destinuar pĂ«r tĂ« ruajtur tĂ« dhĂ«nat qĂ« pĂ«rpunohen nga sistemi informacionit.
  • «ShkĂ«mbimi i tĂ« dhĂ«nave» — kanali i shkĂ«mbimit tĂ« informacionit midis Klientit dhe Serverit, qĂ« kalon pĂ«rmes rrjetit tĂ« transmetimit tĂ« tĂ« dhĂ«nave. PĂ«r mĂ« shumĂ« detaje mbi modelin e elementit shih «Modeli standard i kĂ«rcĂ«nimeve. ShkĂ«mbimi i tĂ« dhĂ«nave».

Kufizimet
Në modelimin e objektit janë vendosur kufizime të mëposhtme:

  1. Përdoruesi ndërvepron me sistemin informacionit brenda intervaleve përfundimtare të kohës, të quajtur seanca e punës.
  2. Në fillim të çdo seance pune, ndodhin identifikimi, autentikimi dhe autorizimi i përdoruesit.
  3. Të gjitha informacionet e mbrojtura ruhen në pjesën server të sistemit informacionit.

Kërcënime për sigurinë në nivelin e lartë

Dekompocimi
U1. Veprimet e paautorizuara të kryera nga keqbërësit në emër të një përdoruesi legjitim.
U2. Modifikimi i paautorizuar i informacionit të mbrojtur gjatë përpunimit të tij nga pjesa server e sistemit informacionit.

U1. Veprimet e paautorizuara të kryera nga keqbërësit në emër të një përdoruesi legjitim

Sqarime
Zakonisht, në sistemet informacioni, lidhja e veprimeve me përdoruesin që i ka kryer ato realizohet përmes:

  1. dokumenteve të punës së sistemit (logs).
  2. atributeve speciale të objekteve të të dhënave, që përmbajnë informacione mbi atë që i krijoi ose i ndryshoi ato.

Në lidhje me seancën e punës, kjo kërcënim mund të dekompozohet në:

  1. të kryera brenda seancës së punës të përdoruesit.
  2. të kryera jashtë seancës së punës të përdoruesit.

Seanca e punës e përdoruesit mund të inicohet nga:

  1. Përdoruesi vetë.
  2. Keqbërësit.

Në këtë fazë, dekompozimi fillestar i kësaj kërcënimi do të duket si vijon:
U1.1. Veprimet e paautorizuara u kryen brenda seancës së punës së përdoruesit:
U1.1.1. , e instaluar nga përdoruesi i sulmuar.
U1.1.2. , e instaluar nga sulmuesit.
U1.2. Veprimet e paautorizuara u kryen jashtë seancës së punës së përdoruesit.

Nga këndvështrimi i objekteve të infrastrukturës informacionale që mund të preken nga sulmuesit, dekompozimi i kërcënimeve të ndërmjetme do të duket si vijon:

Elementët
Dekompozimi i kërcënimeve

U1.1.1.
U1.1.2.
U1.2.

Klienti
U1.1.1.1.
U1.1.2.1.

Lidhja rrjetore
U1.1.1.2.

ХДрĐČДр

U1.2.1.

Dekompocimi
U1.1. Veprimet e paautorizuara u kryen brenda seancës së punës së përdoruesit:
U1.1.1. , e instaluar nga përdoruesi i sulmuar:
U1.1.1.1. Sulmuesit vepruan nga Klienti:
U1.1.1.1.1 Sulmuesit përdorën mjete standart për qasje në sistemin informacionit:
U1.1.1.1.1.1. Sulmuesit përdorën mjete fizike për hyrje-përshkrim të Klientit (tastierë, maus, monitor ose ekran prekje të pajisjes mobile):
U1.1.1.1.1.1.1. Sulmuesit vepruan në periudha kohore kur seanca është aktive, mjetet për hyrje-përshkrim janë të disponueshme dhe përdoruesi nuk është në vend.
U1.1.1.1.1.2. Sulmuesit përdorën mjete të administratës në distancë (standart ose të ofruara nga kodi keqdashës) për të menaxhuar Klientin:
U1.1.1.1.1.2.1. Sulmuesit vepruan në periudha kohore kur seanca është aktive, mjetet për hyrje-përshkrim janë të disponueshme dhe përdoruesi nuk është në vend.
U1.1.1.1.1.2.2. Sulmuesit përdorën mjete të administratës në distancë, punimi i të cilave është i padukshëm për përdoruesin e sulmuar.
U1.1.1.2. Sulmuesit ndryshuan të dhënat në lidhjen rrjetore midis Klientit dhe Serverit, duke i modifikuar në mënyrë që të perceptoheshin si veprime të përdoruesit legjitim:
U1.1.1.2.1. Lidhja: «Modeli standard i kërcënimeve. Shkëmbimi i të dhënave. U2. Modifikimi i paautorizuar i të dhënave të transmetuara».
U1.1.1.3. Sulmuesit e detyruan përdoruesin të kryejë veprimet që ato e kërkuan, duke përdorur metoda të inxhinierisë sociale.

U1.1.2 e instaluar nga sulmuesit:
U1.1.2.1. Sulmuesit vepruan nga Klienti (DHE):
U1.1.2.1.1. Sulmuesit neutralizuan sistemin e ndarjes së aksesit të sistemit informacionit:
U1.1.2.1.1.1. Lidhja: ‘Modeli tipik i kĂ«rcĂ«nimeve. Sistemi i ndarjes sĂ« aksesit. U1. Vendosja e paautorizuar e seancĂ«s sĂ« punĂ«s nĂ« emĂ«r tĂ« pĂ«rdoruesit legjitim’.
U1.1.2.1.2. Sulmuesit përdorën mjete standart për qasje në sistemin informacionit
U1.1.2.2. Sulmuesit vepruan nga nodet e tjera të rrjetit të transmetimit të të dhënave, nga të cilat mund të vendoset një lidhje rrjetore me Serverin (DHE):
U1.1.2.2.1. Sulmuesit neutralizuan sistemin e ndarjes së aksesit të sistemit informacionit:
U1.1.2.2.1.1. Lidhja: ‘Modeli tipik i kĂ«rcĂ«nimeve. Sistemi i ndarjes sĂ« aksesit. U1. Vendosja e paautorizuar e seancĂ«s sĂ« punĂ«s nĂ« emĂ«r tĂ« pĂ«rdoruesit legjitim’.
U1.1.2.2.2. Sulmuesit përdorën mjete të papërshtatshme për qasje në sistemin informacionit.
Shpjegimet U1.1.2.2.2.
Sulmuesit mund të kenë instaluar klientin standart të sistemit informacionit në një nod të tretë ose kanë mundur të përdorin softuer të papërshtatshëm që realizon protokollet standart të shkëmbimit midis Klientit dhe Serverit.

U1.2 Veprimet e paautorizuara u kryen jashtë seancës së punës së përdoruesit.
U1.2.1 Sulmuesit kryen veprime të paautorizuara dhe më pas bënë ndryshime të paautorizuara në regjistrat e punës së sistemit informacionit ose atributet speciale të objekteve të të dhënave, duke treguar se veprimet e kryera nga ata janë kryer nga përdoruesi legjitim.

U2. Modifikimi i paautorizuar i informacionit të mbrojtur gjatë përpunimit të tij nga pjesa server e sistemit informacionit

Dekompocimi
U2.1. Sulmuesit modifikojnë informacionin e mbrojtur nëpërmjet mjeteve standart të sistemit informacionit dhe kryejnë këtë në emër të përdoruesit legjitim.
U2.1.1. Lidhja: ‘Modeli tipik i kĂ«rcĂ«nimeve. Sistemi informacionit, i ndĂ«rtuar mbi bazĂ«n e arkitekturĂ«s klient-server. U1. Kryerja e veprimeve tĂ« paautorizuara nga sulmuesit nĂ« emĂ«r tĂ« pĂ«rdoruesit legjitim’.

U2.2. Sulmuesit modifikojnë informacionin e mbrojtur duke përdorur mekanizma për qasje në të dhëna që nuk parashikohen nga mënyra e zakonshme e funksionimit të sistemit informacionit.
U2.2.1. Sulmuesit modifikojnë skeduj që përmbajnë informacion të mbrojtur:
U2.2.1.1. , duke përdorur mekanizmat e punës me skedujt që ofrohen nga sistemi operativ.
U2.2.1.2. duke provokuar rikthimin e skedujve nga një kopje rezervë të modifikuar pa autorizim.

U2.2.2. Sulmuesit modifikojnë informacionin e mbrojtur që ruhet në bazën e të dhënave (DHE):
U2.2.2.1. Sulmuesit neutralizojnë sistemin e ndarjes së aksesit të DBMS:
U2.2.2.1.1. Lidhja: ‘Modeli tipik i kĂ«rcĂ«nimeve. Sistemi i ndarjes sĂ« aksesit. U1. Vendosja e paautorizuar e seancĂ«s sĂ« punĂ«s nĂ« emĂ«r tĂ« pĂ«rdoruesit legjitim’.
ĐŁ2.2.2.2. Đ—Đ»ĐŸŃƒĐŒŃ‹ŃˆĐ»Đ”ĐœĐœĐžĐșĐž ĐŒĐŸĐŽĐžŃ„ĐžŃ†ĐžŃ€ŃƒŃŽŃ‚ ĐžĐœŃ„ĐŸŃ€ĐŒĐ°Ń†ĐžŃŽ, ĐžŃĐżĐŸĐ»ŃŒĐ·ŃƒŃ ŃˆŃ‚Đ°Ń‚ĐœŃ‹Đ” ĐžĐœŃ‚Đ”Ń€Ń„Đ”Đčсы СУБД ĐŽĐ»Ń ĐŽĐŸŃŃ‚ŃƒĐżĐ° Đș ĐŽĐ°ĐœĐœŃ‹ĐŒ.

ĐŁ2.3. Đ—Đ»ĐŸŃƒĐŒŃ‹ŃˆĐ»Đ”ĐœĐœĐžĐșĐž ĐŒĐŸĐŽĐžŃ„ĐžŃ†ĐžŃ€ŃƒŃŽŃ‚ Đ·Đ°Ń‰ĐžŃ‰Đ°Đ”ĐŒŃƒŃŽ ĐžĐœŃ„ĐŸŃ€ĐŒĐ°Ń†ĐžŃŽ ĐżŃƒŃ‚Đ”ĐŒ ĐœĐ”ŃĐ°ĐœĐșŃ†ĐžĐŸĐœĐžŃ€ĐŸĐČĐ°ĐœĐœĐŸĐč ĐŒĐŸĐŽĐžŃ„ĐžĐșацоо Đ°Đ»ĐłĐŸŃ€ĐžŃ‚ĐŒĐŸĐČ Ń€Đ°Đ±ĐŸŃ‚Ń‹ ĐŸĐ±Ń€Đ°Đ±Đ°Ń‚Ń‹ĐČĐ°ŃŽŃ‰Đ”ĐłĐŸ ДД ПО.
ĐŁ2.3.1. ĐœĐŸĐŽĐžŃ„ĐžĐșацоо ĐżĐŸĐŽĐČĐ”Ń€ĐłĐ°Đ”Ń‚ŃŃ ĐžŃŃ…ĐŸĐŽĐœŃ‹Đč ĐșĐŸĐŽ ПО.
ĐŁ2.3.1. ĐœĐŸĐŽĐžŃ„ĐžĐșацоо ĐżĐŸĐŽĐČĐ”Ń€ĐłĐ°Đ”Ń‚ŃŃ ĐŒĐ°ŃˆĐžĐœĐœŃ‹Đč ĐșĐŸĐŽ ПО.

ĐŁ2.4. Đ—Đ»ĐŸŃƒĐŒŃ‹ŃˆĐ»Đ”ĐœĐœĐžĐșĐž ĐŒĐŸĐŽĐžŃ„ĐžŃ†ĐžŃ€ŃƒŃŽŃ‚ Đ·Đ°Ń‰ĐžŃ‰Đ°Đ”ĐŒŃƒŃŽ ĐžĐœŃ„ĐŸŃ€ĐŒĐ°Ń†ĐžŃŽ ĐżŃƒŃ‚Đ”ĐŒ ĐžŃĐżĐŸĐ»ŃŒĐ·ĐŸĐČĐ°ĐœĐžŃ ŃƒŃĐ·ĐČĐžĐŒĐŸŃŃ‚Đ”Đč ĐČ ĐżŃ€ĐŸĐłŃ€Đ°ĐŒĐŒĐœĐŸĐŒ ĐŸĐ±Đ”ŃĐżĐ”Ń‡Đ”ĐœĐžĐž ĐžĐœŃ„ĐŸŃ€ĐŒĐ°Ń†ĐžĐŸĐœĐœĐŸĐč ŃĐžŃŃ‚Đ”ĐŒŃ‹.

ĐŁ2.5. Đ—Đ»ĐŸŃƒĐŒŃ‹ŃˆĐ»Đ”ĐœĐœĐžĐșĐž ĐŒĐŸĐŽĐžŃ„ĐžŃ†ĐžŃ€ŃƒŃŽŃ‚ Đ·Đ°Ń‰ĐžŃ‰Đ°Đ”ĐŒŃƒŃŽ ĐžĐœŃ„ĐŸŃ€ĐŒĐ°Ń†ĐžŃŽ про ДД пДрДЎачД ĐŒĐ”Đ¶ĐŽŃƒ ĐșĐŸĐŒĐżĐŸĐœĐ”ĐœŃ‚Đ°ĐŒĐž сДрĐČĐ”Ń€ĐœĐŸĐč часто ĐžĐœŃ„ĐŸŃ€ĐŒĐ°Ń†ĐžĐŸĐœĐœĐŸĐč ŃĐžŃŃ‚Đ”ĐŒŃ‹ (ĐœĐ°ĐżŃ€ĐžĐŒĐ”Ń€, сДрĐČĐ”Ń€ĐŸĐŒ баз ĐŽĐ°ĐœĐœŃ‹Ń… Đž сДрĐČĐ”Ń€ĐŸĐŒ ĐżŃ€ĐžĐ»ĐŸĐ¶Đ”ĐœĐžĐč):
ĐŁ2.5.1. ХсылĐșĐ°: «Modeli standard i kĂ«rcĂ«nimeve. ShkĂ«mbimi i tĂ« dhĂ«nave. U2. Modifikimi i paautorizuar i tĂ« dhĂ«nave tĂ« transmetuara».

бИПОВАЯ МОДЕЛЬ УГРОЗ. СИСбЕМА РАЗГРАНИЧЕНИЯ ДОСбУПА

Objekti i mbrojtjes, për të cilin aplikohet modeli i kërcënimeve (scope)

ОбъДĐșт защОты, ĐŽĐ»Ń ĐșĐŸŃ‚ĐŸŃ€ĐŸĐłĐŸ ĐżŃ€ĐžĐŒĐ”ĐœŃĐ”Ń‚ŃŃ ĐŽĐ°ĐœĐœĐ°Ń ĐŒĐŸĐŽĐ”Đ»ŃŒ ŃƒĐłŃ€ĐŸĐ·, ŃĐŸĐŸŃ‚ĐČДтстĐČŃƒĐ”Ń‚ ĐŸĐ±ŃŠĐ”Đșту защОты ĐŒĐŸĐŽĐ”Đ»Đž ŃƒĐłŃ€ĐŸĐ·: Â«ĐąĐžĐżĐŸĐČая ĐŒĐŸĐŽĐ”Đ»ŃŒ ŃƒĐłŃ€ĐŸĐ·. Đ˜ĐœŃ„ĐŸŃ€ĐŒĐ°Ń†ĐžĐŸĐœĐœĐ°Ń ŃĐžŃŃ‚Đ”ĐŒĐ°, ĐżĐŸŃŃ‚Ń€ĐŸĐ”ĐœĐœĐ°Ń ĐœĐ° базД архОтДĐșтуры ĐșĐ»ĐžĐ”ĐœŃ‚-сДрĐČДр».

ĐŸĐŸĐŽ ŃĐžŃŃ‚Đ”ĐŒĐŸĐč Ń€Đ°Đ·ĐłŃ€Đ°ĐœĐžŃ‡Đ”ĐœĐžŃ ĐŽĐŸŃŃ‚ŃƒĐżĐ° ĐżĐŸĐ»ŃŒĐ·ĐŸĐČатДлДĐč ĐČ ĐŽĐ°ĐœĐœĐŸĐč ĐŒĐŸĐŽĐ”Đ»Đž ŃƒĐłŃ€ĐŸĐ· ĐżĐŸĐŽŃ€Đ°Đ·ŃƒĐŒĐ”ĐČĐ°Đ”Ń‚ŃŃ ĐșĐŸĐŒĐżĐŸĐœĐ”ĐœŃ‚ ĐžĐœŃ„ĐŸŃ€ĐŒĐ°Ń†ĐžĐŸĐœĐœĐŸĐč ŃĐžŃŃ‚Đ”ĐŒŃ‹, Ń€Đ”Đ°Đ»ĐžĐ·ŃƒŃŽŃ‰ĐžĐč Ń„ŃƒĐœĐșцоо:

  1. Đ˜ĐŽĐ”ĐœŃ‚ĐžŃ„ĐžĐșацоо ĐżĐŸĐ»ŃŒĐ·ĐŸĐČатДлДĐč.
  2. ĐŃƒŃ‚Đ”ĐœŃ‚ĐžŃ„ĐžĐșацоо ĐżĐŸĐ»ŃŒĐ·ĐŸĐČатДлДĐč.
  3. АĐČŃ‚ĐŸŃ€ĐžĐ·Đ°Ń†ĐžĐž ĐżĐŸĐ»ŃŒĐ·ĐŸĐČатДлДĐč.
  4. ĐŸŃ€ĐŸŃ‚ĐŸĐșĐŸĐ»ĐžŃ€ĐŸĐČĐ°ĐœĐžŃ ĐŽĐ”ĐčстĐČĐžĐč ĐżĐŸĐ»ŃŒĐ·ĐŸĐČатДлДĐč.

Kërcënime për sigurinë në nivelin e lartë

Dekompocimi
ĐŁ1. ĐĐ”ŃĐ°ĐœĐșŃ†ĐžĐŸĐœĐžŃ€ĐŸĐČĐ°ĐœĐœĐŸĐ” ŃƒŃŃ‚Đ°ĐœĐŸĐČĐ»Đ”ĐœĐžĐ” ŃĐ”Đ°ĐœŃĐ° Ń€Đ°Đ±ĐŸŃ‚Ń‹ ĐŸŃ‚ ĐžĐŒĐ”ĐœĐž Đ»Đ”ĐłĐ°Đ»ŃŒĐœĐŸĐłĐŸ ĐżĐŸĐ»ŃŒĐ·ĐŸĐČĐ°Ń‚Đ”Đ»Ń.
ĐŁ2. ĐĐ”ŃĐ°ĐœĐșŃ†ĐžĐŸĐœĐžŃ€ĐŸĐČĐ°ĐœĐœĐŸĐ” ĐżĐŸĐČŃ‹ŃˆĐ”ĐœĐžĐ” проĐČОлДгОĐč ĐżĐŸĐ»ŃŒĐ·ĐŸĐČĐ°Ń‚Đ”Đ»Ń ĐČ ĐžĐœŃ„ĐŸŃ€ĐŒĐ°Ń†ĐžĐŸĐœĐœĐŸĐč ŃĐžŃŃ‚Đ”ĐŒĐ”.

ĐŁ1. ĐĐ”ŃĐ°ĐœĐșŃ†ĐžĐŸĐœĐžŃ€ĐŸĐČĐ°ĐœĐœĐŸĐ” ŃƒŃŃ‚Đ°ĐœĐŸĐČĐ»Đ”ĐœĐžĐ” ŃĐ”Đ°ĐœŃĐ° Ń€Đ°Đ±ĐŸŃ‚Ń‹ ĐŸŃ‚ ĐžĐŒĐ”ĐœĐž Đ»Đ”ĐłĐ°Đ»ŃŒĐœĐŸĐłĐŸ ĐżĐŸĐ»ŃŒĐ·ĐŸĐČĐ°Ń‚Đ”Đ»Ń

Sqarime
ДДĐșĐŸĐŒĐżĐŸĐ·ĐžŃ†ĐžŃ ĐŽĐ°ĐœĐœĐŸĐč ŃƒĐłŃ€ĐŸĐ·Ń‹ ĐČ ĐŸĐ±Ń‰Đ”ĐŒ ŃĐ»ŃƒŃ‡Đ°Đ” Đ±ŃƒĐŽĐ”Ń‚ Đ·Đ°ĐČĐžŃĐ”Ń‚ŃŒ ĐŸŃ‚ ĐżŃ€ĐžĐŒĐ”ĐœŃĐ”ĐŒĐŸĐłĐŸ топа ŃĐžŃŃ‚Đ”ĐŒ ĐžĐŽĐ”ĐœŃ‚ĐžŃ„ĐžĐșацоо Đž Đ°ŃƒŃ‚Đ”ĐœŃ‚ĐžŃ„ĐžĐșацоо ĐżĐŸĐ»ŃŒĐ·ĐŸĐČатДлДĐč.

В ĐŽĐ°ĐœĐœĐŸĐč ĐŒĐŸĐŽĐ”Đ»Đž Đ±ŃƒĐŽĐ”Ń‚ Ń€Đ°ŃŃĐŒĐŸŃ‚Ń€Đ”ĐœĐ° Ń‚ĐŸĐ»ŃŒĐșĐŸ ŃĐžŃŃ‚Đ”ĐŒĐ° ĐžĐŽĐ”ĐœŃ‚ĐžŃ„ĐžĐșацоо Đž Đ°ŃƒŃ‚Đ”ĐœŃ‚ĐžŃ„ĐžĐșацоо ĐżĐŸĐ»ŃŒĐ·ĐŸĐČатДлДĐč, ĐžŃĐżĐŸĐ»ŃŒĐ·ŃƒŃŽŃ‰Đ°Ń Ń‚Đ”ĐșŃŃ‚ĐŸĐČŃ‹Đ” Đ»ĐŸĐłĐžĐœ Đž ĐżĐ°Ń€ĐŸĐ»ŃŒ. Про ŃŃ‚ĐŸĐŒ Đ±ŃƒĐŽĐ”ĐŒ счотать, Ń‡Ń‚ĐŸ Đ»ĐŸĐłĐžĐœ ĐżĐŸĐ»ŃŒĐ·ĐŸĐČĐ°Ń‚Đ”Đ»Ń — ĐŸĐ±Ń‰Đ”ĐŽĐŸŃŃ‚ŃƒĐżĐœĐ°Ń ĐžĐœŃ„ĐŸŃ€ĐŒĐ°Ń†ĐžŃ, ОзĐČĐ”ŃŃ‚ĐœĐ°Ń Đ·Đ»ĐŸŃƒĐŒŃ‹ŃˆĐ»Đ”ĐœĐœĐžĐșĐ°ĐŒ.

Dekompocimi
ĐŁ1.1. <
> Đ·Đ° счДт ĐșĐŸĐŒĐżŃ€ĐŸĐŒĐ”Ń‚Đ°Ń†ĐžĐž ŃƒŃ‡Đ”Ń‚ĐœŃ‹Ń… ĐŽĐ°ĐœĐœŃ‹Ń…:
ĐŁ1.1.1. Đ—Đ»ĐŸŃƒĐŒŃ‹ŃˆĐ»Đ”ĐœĐœĐžĐșĐž сĐșĐŸĐŒĐżŃ€ĐŸĐŒĐ”Ń‚ĐžŃ€ĐŸĐČалО ŃƒŃ‡Đ”Ń‚ĐœŃ‹Đ” ĐŽĐ°ĐœĐœŃ‹Đ” ĐżĐŸĐ»ŃŒĐ·ĐŸĐČĐ°Ń‚Đ”Đ»Ń ĐČ ĐżŃ€ĐŸŃ†Đ”ŃŃĐ” ох Ń…Ń€Đ°ĐœĐ”ĐœĐžŃ.
ĐŸĐŸŃŃĐœĐ”ĐœĐžŃ ĐŁ1.1.1.
ĐĐ°ĐżŃ€ĐžĐŒĐ”Ń€, ŃƒŃ‡Đ”Ń‚ĐœŃ‹Đ” ĐŽĐ°ĐœĐœŃ‹Đ” ĐŒĐŸĐłĐ»Đž Đ±Ń‹Ń‚ŃŒ ĐœĐ°ĐżĐžŃĐ°ĐœŃ‹ ĐœĐ° стоĐșДрД, проĐșĐ»Đ”Đ”ĐœĐœĐŸĐŒ Đș ĐŒĐŸĐœĐžŃ‚ĐŸŃ€Ńƒ.

ĐŁ1.1.2. ĐŸĐŸĐ»ŃŒĐ·ĐŸĐČĐ°Ń‚Đ”Đ»ŃŒ ŃĐ»ŃƒŃ‡Đ°ĐčĐœĐŸ ОлО ĐżĐŸ Đ·Đ»ĐŸĐŒŃƒ ŃƒĐŒŃ‹ŃĐ»Ńƒ пДрДЎал рДĐșĐČОзОты ĐŽĐŸŃŃ‚ŃƒĐżĐ° Đ·Đ»ĐŸŃƒĐŒŃ‹ŃˆĐ»Đ”ĐœĐœĐžĐșĐ°ĐŒ.
ĐŁ1.1.2.1. ĐŸĐŸĐ»ŃŒĐ·ĐŸĐČĐ°Ń‚Đ”Đ»ŃŒ ĐżŃ€ĐŸĐłĐŸĐČароĐČĐ°Đ» ŃƒŃ‡Đ”Ń‚ĐœŃ‹Đ” ĐŽĐ°ĐœĐœŃ‹Đ” ĐČŃĐ»ŃƒŃ… про ĐČĐČĐŸĐŽĐ”.
ĐŁ1.1.2.2. ĐŸĐŸĐ»ŃŒĐ·ĐŸĐČĐ°Ń‚Đ”Đ»ŃŒ ŃƒĐŒŃ‹ŃˆĐ»Đ”ĐœĐŸ пДрДЎал сĐČĐŸĐž ŃƒŃ‡Đ”Ń‚ĐœŃ‹Đ” ĐŽĐ°ĐœĐœŃ‹Đ”:
ĐŁ1.1.2.2.1. <
> ĐșĐŸĐ»Đ»Đ”ĐłĐ°ĐŒ ĐżĐŸ Ń€Đ°Đ±ĐŸŃ‚Đ”.
Shpjegime U1.1.2.2.1.
Për shembull, për të mundësuar zëvendësimin e tij gjatë periudhës së sëmundjes.

ĐŁ1.1.2.2.2. <
> ĐșĐŸĐœŃ‚Ń€Đ°ĐłĐ”ĐœŃ‚Đ°ĐŒ Ń€Đ°Đ±ĐŸŃ‚ĐŸĐŽĐ°Ń‚Đ”Đ»Ń, ĐČŃ‹ĐżĐŸĐ»ĐœŃŃŽŃ‰ĐžĐŒ Ń€Đ°Đ±ĐŸŃ‚Ń‹ ĐœĐ°ĐŽ ĐŸĐ±ŃŠĐ”ĐșŃ‚Đ°ĐŒĐž ĐžĐœŃ„ĐŸŃ€ĐŒĐ°Ń†ĐžĐŸĐœĐœĐŸĐč ĐžĐœŃ„Ń€Đ°ŃŃ‚Ń€ŃƒĐșтуры.
ĐŁ1.1.2.2.3. <
> Ń‚Ń€Đ”Ń‚ŃŒĐžĐŒ Đ»ĐžŃ†Đ°ĐŒ.
Shpjegime U1.1.2.2.3.
Një nga, por jo i vetmi, mundësitë për zbatimin e kësaj kërcënimi është përdorimi i teknikave të inxhinierisë sociale nga ana e sulmuesve.

U1.1.3. Sulmuesit morën të dhënat e identifikimit përmes metodës së përzgjedhjes:
ĐŁ1.1.3.1. <
> с ĐžŃĐżĐŸĐ»ŃŒĐ·ĐŸĐČĐ°ĐœĐžĐ”ĐŒ ŃˆŃ‚Đ°Ń‚ĐœŃ‹Ń… ĐŒĐ”Ń…Đ°ĐœĐžĐ·ĐŒĐŸĐČ ĐŽĐŸŃŃ‚ŃƒĐżĐ°.
ĐŁ1.1.3.2. <
> ĐżĐŸ Ń€Đ°ĐœĐ”Đ” пДрДхĐČĐ°Ń‡Đ”ĐœĐœŃ‹ĐŒ ĐșĐŸĐŽĐ°ĐŒ (ĐœĐ°ĐżŃ€ĐžĐŒĐ”Ń€, Ń…ŃŃˆĐ°ĐŒ ĐżĐ°Ń€ĐŸĐ»Đ”Đč) Ń…Ń€Đ°ĐœĐ”ĐœĐžŃ ŃƒŃ‡Đ”Ń‚ĐœŃ‹Ń… ĐŽĐ°ĐœĐœŃ‹Ń….

U1.1.4. Sulmuesit përdorën kod të dëmshëm për të kapur të dhënat e identifikimit të përdoruesit.

U1.1.5. Sulmuesit nxorrën të dhënat e identifikimit nga lidhja rrjetore mes Klientit dhe Serverit:
Link: „Modeli tipik i kĂ«rcĂ«nimeve. Lidhja rrjetore. U1. Qasja e paautorizuar nĂ« tĂ« dhĂ«nat qĂ« transmetohen”.

U1.1.6. Sulmuesit nxorrën të dhënat e identifikimit nga regjistrimet e sistemeve të monitorimit të punës:
ĐŁ1.1.6.1. <
> ŃĐžŃŃ‚Đ”ĐŒ ĐČĐžĐŽĐ”ĐŸĐœĐ°Đ±Đ»ŃŽĐŽĐ”ĐœĐžŃ (ĐČ ŃĐ»ŃƒŃ‡Đ°Đ”, ДслО ĐČĐŸ ĐČŃ€Đ”ĐŒŃ Ń€Đ°Đ±ĐŸŃ‚Ń‹ фоĐșŃĐžŃ€ĐŸĐČĐ°Đ»ĐžŃŃŒ ĐœĐ°Đ¶Đ°Ń‚ĐžŃ ĐșлаĐČОш ĐœĐ° ĐșлаĐČĐžĐ°Ń‚ŃƒŃ€Đ”).
ĐŁ1.1.6.2. <
> ŃĐžŃŃ‚Đ”ĐŒ ĐșĐŸĐœŃ‚Ń€ĐŸĐ»Ń ĐŽĐ”ĐčстĐČĐžĐč ŃĐŸŃ‚Ń€ŃƒĐŽĐœĐžĐșĐŸĐČ Đ·Đ° ĐșĐŸĐŒĐżŃŒŃŽŃ‚Đ”Ń€ĐŸĐŒ
Shpjegime U1.1.6.2.
Një shembull i tillë sistemi është StuffCop.

U1.1.7. Sulmuesit komprometuan të dhënat e identifikimit të përdoruesit për shkak të mangësive në procesin e transferimit të tyre.
Shpjegime U1.1.7.
Për shembull, transferimi i fjalëkalimeve në një formë të hapur përmes emailit.

U1.1.8. Sulmuesit mësuan të dhënat e identifikimit duke vëzhguar sesionin e punës të përdoruesit përmes sistemeve të administratës së largët.

U1.1.9. Sulmuesit nxorrën të dhënat e identifikimit si pasojë e rrjedhjes së tyre përmes kanaleve teknike (TKUI):
U1.1.9.1. Sulmuesit përshikuan se si përdoruesi shkruante të dhënat e identifikimit në tastierë:
U1.1.9.1.1 Sulmuesit qenë të pozicionuar në afërsi të përdoruesit dhe panë hyn e të dhënave të identifikimit me sy.
Shpjegime U1.1.9.1.1
Rastet e tilla përfshijnë veprimet e kolegëve në punë ose situata kur tastiera e përdoruesit është e dukshme për vizitorët e organizatës.

U1.1.9.1.2 Saldimatar përdorën mjete të tjera teknike, si binocularë ose dronë, dhe panë futjen e të dhënave të identifikimit përmes dritares.
U1.1.9.2. Saldimatarët nxorrën të dhënat e identifikimit nga regjistrimet e komunikimeve radio ndërmjet tastierës dhe njësisë qendrore të kompjuterit në rast se ishin lidhur përmes një interface radio (p.sh. Bluetooth).
U1.1.9.3. Saldimatarët kapën të dhënat e identifikimit përmes rrjedhjes së tyre përmes kanalit të ndihmës elektromagnetike dhe interferencave (PEMIN).
Shpjegime U1.1.9.3.
Shembuj sulmi këtu dhe këtu.

U1.1.9.4. Saldimari kapën futjen e të dhënave të identifikimit nga tastiera duke përdorur mjete teknike speciale (STS) të destinuara për përvetësimin e heshtur të informacionit.
Shpjegime U1.1.9.4.
Shembuj dispozitivë.

U1.1.9.5. Saldimatarët kapën futjen e të dhënave të identifikimit nga tastiera përmes
analizës së sinjalit Wi-Fi, i modulueshëm nga procesi i shtypjes së çelësave nga përdoruesi.
Shpjegime U1.1.9.5.
Shembuj të sulmit.

U1.1.9.6. Saldimatarët kapën futjen e të dhënave të identifikimit nga tastiera përmes analizës së tingujve të shtypjes së çelësave.
Shpjegime U1.1.9.6.
Shembuj të sulmit.

U1.1.9.7. Saldimatarët kapën futjen e të dhënave të identifikimit nga tastiera e pajisjeve mobile përmes analizës së matjeve të accelerometrit.
Shpjegime U1.1.9.7.
Shembuj të sulmit.

U1.1.10. , të ruajtura paraprakisht në Klient.
Shpjegime U1.1.10.
Për shembull, përdoruesi mund të kishte ruajtur në shfletuesin e tij emrin e përdoruesit dhe fjalëkalimin për qasje në një faqe të caktuar.

U1.1.11. Saldimatarët komprometuan të dhënat e identifikimit për shkak të mangësive në procesin e pritjes së qasjes së përdoruesve.
Shpjegime U1.1.11.
Për shembull, pas shkarkimit të përdoruesit, llogaritë e tij mbetën të pa bllokuara.

U1.2. përmes përdorimit të dobësive në sistemin e ndarjes së qasjes.

U2. Rritja e paautorizuar e privilegjeve të përdoruesit në sistemin informatik

Dekompocimi
U2.1 përmes ndryshimeve të paautorizuara në të dhënat që përmbajnë informacion rreth privilegjeve të përdoruesit.

U2.2 përmes përdorimit të dobësive në sistemin e ndarjes së qasjes.

U2.3. për shkak të mangësive në procesin e menaxhimit të aksesit të përdoruesve.
Shpjegime U2.3.
Shembulli 1. Përdoruesit iu dha akses më të lartë se ajo që i nevojitej për nevojat e shërbimit.
Shembulli 2. Pas transfertës së përdoruesit në një pozite tjetër, të drejtat e aksesit të dhëna më parë nuk u tërhoqën.

MODELI I PËRGJITHSHËM I KËRCËNIMEVE. MODULI I INTEGRIMIT

Objekti i mbrojtjes, për të cilin aplikohet modeli i kërcënimeve (scope)

Moduli i integrimit – njĂ« grup objektesh tĂ« infrastrukturĂ«s informuese, tĂ« destinuara pĂ«r organizimin e shkĂ«mbimit tĂ« informacionit midis sistemeve informuese.

Duke marrë parasysh faktin se në rrjetet korporative nuk është gjithmonë e mundur të ndahet qartë një sistem informatik nga tjetri, moduli i integrimit mund të konsiderohet gjithashtu si një lidhës midis komponenteve brenda një sistemi informatik.

Arkitektura
Schema e përgjithshme e modulit të integrimit duket si më poshtë:

Siguria informative e pagesave bankare pa para. Pjesa 8 — Modelet standarde tĂ« kĂ«rcĂ«nimeve

Përshkrimi i elementeve të arkitekturës:

  • «Serveri i shkĂ«mbimit (SO)» – nyja / shĂ«rbimi / komponenti i sistemit informatik qĂ« kryen funksionin e shkĂ«mbimit tĂ« tĂ« dhĂ«nave me njĂ« sistem informatik tjetĂ«r.
  • «Mediatori» – nyja / shĂ«rbimi, i destinuar pĂ«r organizimin e bashkĂ«punimit midis sistemeve informatike, por qĂ« nuk Ă«shtĂ« pjesĂ« e tyre.
    Shembuj të «Mediatoreve» mund të jenë shërbimet e postës elektronike, autobuzat shërbimi të ndërmarrjeve (enterprise service bus / arkitektura SoA), serverat e skedarëve të palëve të treta etj. Në përgjithësi, moduli i integrimit mund të mos përmbajë fare «Mediatë».
  • «SO pĂ«r pĂ«rpunimin e tĂ« dhĂ«nave» – njĂ« sasi e programeve qĂ« realizojnĂ« protokollet e shkĂ«mbimit tĂ« tĂ« dhĂ«nave dhe transformimin e formateve.
    Për shembull, transformimi i të dhënave nga formati UFBES në formatin ABS, ndryshimi i statusit të mesazheve gjatë transmetimit etj.
  • «ShkĂ«mbimi i tĂ« dhĂ«nave» pĂ«rkon me objektin e pĂ«rshkruar nĂ« modelin tipik tĂ« kĂ«rcĂ«nimeve «Lidhja e rrjetit». Disa lidhje rrjetesh tĂ« paraqitura nĂ« skemĂ«n e mĂ«sipĂ«rme mund tĂ« mos ekzistojnĂ«.

Shembuj të modulit të integrimit

Schema 1. Integrimi i ABS dhe ARM KBR përmes serverit të skedarëve të palëve të treta

Për të përmbushur pagesat, punonjësi i autorizuar i bankës shkarkon nga ABS dokumentet elektronike të pagesës dhe i ruan ato në një skedar (formati i vet, për shembull SQL-dump) në dosjen rrjetore (
SHARE) të serverit të skedarëve. Më pas, ky skedar përmes një skripti konvertues transformohet në një grup skedarësh në formatin UFBES, të cilat më pas i lexon ARM KBR.
Pas kësaj, punonjësi i autorizuar - përdoruesi i ARM KBR - e kripton dhe e nënshkruan skedarin e marrë dhe e dërgon në sistemin e pagesave të Bankës së Rusisë.

Në momentin e marrjes së pagesave nga Banka e Rusisë, ARM KBR kryen dekriptimin dhe verifikimin e nënshkrimit elektronik, pas së cilës regjistron në formën e një grupi skedarësh me formatin UFEBS në serverin e skedarëve. Para se të importohen dokumentet e pagesave në ABS, ato konvertohen me një skenar konvertues nga formati UFEBS në formatin ABS.

Le të supozojmë se në këtë skemë ABS funksionon në një server fizik, ARM KBR funksionon në një kompjuter të dedikuar, dhe skenari konvertues punon në serverin e skedarëve.

Siguria informative e pagesave bankare pa para. Pjesa 8 — Modelet standarde tĂ« kĂ«rcĂ«nimeve

Përputhja e objekteve të skemës së shqyrtuar me elementët e modelit të modulit të integrimit:
„Serverat e shkĂ«mbimit nga ana e ABS” – serveri ABS.
„Serverat e shkĂ«mbimit nga ana e ARM KBR” – kompjuteri ARM KBR.
«Mediatori» – serveri i huaj i skedarĂ«ve.
«SO pĂ«r pĂ«rpunimin e tĂ« dhĂ«nave» – skenari konvertues.

Skema 2. Integrimi i ABS dhe ARM KBR duke vendosur një dosje rrjetore të përbashkët me pagesa në ARM KBR

ВсД Đ°ĐœĐ°Đ»ĐŸĐłĐžŃ‡ĐœĐŸ ĐĄŃ…Đ”ĐŒĐ” 1, ĐœĐŸ ĐŸŃ‚ĐŽĐ”Đ»ŃŒĐœŃ‹Đč фаĐčĐ»ĐŸĐČыĐč сДрĐČДр ĐœĐ” ĐžŃĐżĐŸĐ»ŃŒĐ·ŃƒĐ”Ń‚ŃŃ, ĐČĐŒĐ”ŃŃ‚ĐŸ ŃŃ‚ĐŸĐłĐŸ сДтДĐČая папĐșĐ° (
SHARE) с ŃĐ»Đ”ĐșŃ‚Ń€ĐŸĐœĐœŃ‹ĐŒĐž ĐżĐ»Đ°Ń‚Đ”Đ¶ĐœŃ‹ĐŒĐž ĐŽĐŸĐșŃƒĐŒĐ”ĐœŃ‚Đ°ĐŒĐž Ń€Đ°Đ·ĐŒĐ”Ń‰Đ°Đ”Ń‚ŃŃ ĐœĐ° ĐșĐŸĐŒĐżŃŒŃŽŃ‚Đ”Ń€Đ” с АРМ КБР. ĐĄĐșропт-ĐșĐŸĐœĐČДртДр таĐșжД Ń€Đ°Đ±ĐŸŃ‚Đ°Đ”Ń‚ ĐœĐ° АРМ КБР.

Siguria informative e pagesave bankare pa para. Pjesa 8 — Modelet standarde tĂ« kĂ«rcĂ«nimeve

Përputhja e objekteve të skemës së shqyrtuar me elementët e modelit të modulit të integrimit:
Ashtu si në Skemën 1, por «Mediatori» nuk përdoret.

Skema 3. Integrimi i ABS dhe ARM KBR-N përmes IBM WebSphera MQ dhe realizimi i nënshkrimit të dokumenteve elektronike "në anën e ABS"

ABS funksionon në një platformë që nuk mbështetet nga SKZI SKAD Signatura. Nënshkrimi i dokumenteve elektronike që dërgohen bëhet në një server të veçantë të nënshkrimit elektronik (Serveri EP). Ky server gjithashtu verifikon nënshkrimin elektronik të dokumenteve që vijnë nga Banka e Rusisë.

ABS eksporton në Server EP skedarin e dokumenteve të pagesave në formatin e tij.
Serveri EP, përmes skriptit konvertues, transformon skedarin në mesazhe elektronike formati UFEBS, pas kësaj mesazhet elektronike nënshkruhen dhe dërgohen në IBM WebSphere MQ.

ARM KBR-N lidhet me IBM WebSphere MQ dhe merr atje mesazhet e nĂ«nshkruara tĂ« pagesave, pas sĂ« cilĂ«s punonjĂ«si i autorizuar — pĂ«rdoruesi i ARM KBR — i enkripton dhe i dĂ«rgon nĂ« sistemin e pagesave tĂ« BankĂ«s sĂ« RusisĂ«.

Në momentin e marrjes së pagesave nga Banka e Rusisë, ARM KBR-N i dekripton ato dhe kontrollon nënshkrimin elektronik. Pagesat e përpunuara me sukses, si mesazhe elektronike të dekriptuara dhe të nënshkruara formati UFEBS, dërgohen në IBM WebSphere MQ, nga ku i merr Serveri EP.

Serveri EP kontrollon nĂ«nshkrimin elektronik tĂ« pagesave tĂ« ardhura dhe i ruan ato nĂ« njĂ« skedar formati ABS. Pas kĂ«saj, punonjĂ«si i autorizuar — pĂ«rdoruesi i ABS — ngarkohet skedarin e krijuar nĂ« ABS nĂ« pĂ«rputhje me procedurat e vendosura.

Siguria informative e pagesave bankare pa para. Pjesa 8 — Modelet standarde tĂ« kĂ«rcĂ«nimeve

Përputhja e objekteve të skemës së shqyrtuar me elementët e modelit të modulit të integrimit:
«Serveri i shkĂ«mbimit nga ana e ABS» – serveri ABS.
«Serveri i shkĂ«mbimit nga ana e ARM KBR» — kompjuteri ARM KBR.
«Mediatori» – Serveri EP dhe IBM WebSphere MQ.
«SO pĂ«r pĂ«rpunimin e tĂ« dhĂ«nave» – skripti konvertues, SKZI SKAD Signatura nĂ« Serverin EP.

Skema 4. Integrimi i Serverit DBO me ABS përmes API-së, e ofruar nga serveri i dedikuar për shkëmbim

Do ta marrim në konsideratë se banka përdor disa sisteme të shërbimeve bankare në distancë (DBO):

  • «Internet Klient-Bank» pĂ«r individĂ« (IKB FL);
  • «Internet Klient-Bank» pĂ«r persona juridikĂ« (IKB JL).

Me qëllim të sigurisë informative, të gjitha ndërveprimet e ABS me sistemet DBO zhvillohen përmes një serveri të dedikuar për shkëmbim, duke punuar brenda sistemit informativ «ABS».

Më pas, do të shqyrtojmë procesin e ndërveprimit të sistemit DBO IKB JL me ABS.
Serveri DBO, pas marrjes së një urdhri pagesë të miratuar nga klienti, duhet të krijojë dokumentin përkatës në ABS. Për këtë, ai përmes API-së dërgon informacionin në serverin e shkëmbimit, dhe ai, nga ana e tij, fut të dhënat në ABS.

Kur ndryshojnë balancat në llogarinë e klientit, ABS krijon njoftime elektronike, të cilat përmes serverit të shkëmbimit dërgohen në serverin DBO.

Siguria informative e pagesave bankare pa para. Pjesa 8 — Modelet standarde tĂ« kĂ«rcĂ«nimeve

Përputhja e objekteve të skemës së shqyrtuar me elementët e modelit të modulit të integrimit:
«Serveri i shkĂ«mbimit nga ana e DBO» – serveri DBO IKB JL.
«Serveri i shkĂ«mbimit nga ana e ABS» – serveri i shkĂ«mbimit.
«Mediatori» – nuk ekziston.
«SO pĂ«r pĂ«rpunimin e tĂ« dhĂ«nave» – komponentet e Serverit DBO, pĂ«rgjegjĂ«s pĂ«r pĂ«rdorimin e API-sĂ« sĂ« serverit tĂ« shkĂ«mbimit, komponentet e serverit tĂ« shkĂ«mbimit, pĂ«rgjegjĂ«s pĂ«r pĂ«rdorimin e API-sĂ« sĂ« ABS.

Kërcënime për sigurinë në nivelin e lartë

Dekompocimi
U1. Futja e informacionit të rremë nga ana e keqbërësve përmes modulit të integrimit.

U1. Futja e informacionit të rremë nga ana e keqbërësve përmes modulit të integrimit

Dekompocimi
U1.1. Modifikimi i paautorizuar i të dhënave legjitime gjatë transmetimit përmes lidhjeve rrjetore:
U1.1.1 Lidhja: «Modeli standard i kërcënimeve. Shkëmbimi i të dhënave. U2. Modifikimi i paautorizuar i të dhënave të transmetuara».

U1.2. Dërgimi i të dhënave të rreme nga anëtarët legjitim të shkëmbimit përmes kanaleve të komunikimit:
U1.1.2 Lidhja: «Modeli tipik i kërcënimeve. Lidhja rrjetore. U3. Shkelja e autorësisë së të dhënave të dërguara».

U1.3. Modifikimi i paautorizuar i të dhënave legjitime gjatë përpunimit në Serverat e shkëmbimit ose në Ndërmjetës:
U1.3.1. Lidhja: «Modeli standard të kërcënimeve. Një sistem informatik i ndërtuar mbi arkitekturën klient-server. U2. Modifikimi i paautorizuar i informacionit të mbrojtur gjatë përpunimit nga ana e servis të sistemit informatik».

U1.4. Krijimi në serverat e shkëmbimit ose në ndërmjetës të të dhënave të rrejshme në emër të një pjesëmarrësi legjitim të shkëmbimit:
U1.4.1. Lidhja: «Modeli standard të kërcënimeve. Një sistem informatik i ndërtuar mbi arkitekturën klient-server. U1. Veprimet e paautorizuara të kryera nga sulmuesit në emër të një përdoruesi legjitim».

U1.5. Modifikimi i paautorizuar i të dhënave gjatë përpunimit me ndihmën e softuerit të përpunimit të të dhënave:
U1.5.1. përmes futjes së ndryshimeve të paautorizuara nga sulmuesit në konfigurimin e softuerit të përpunimit të të dhënave.
U1.5.2. përmes futjes së ndryshimeve të paautorizuara nga sulmuesit në skedarët ekzekutivë të softuerit të përpunimit të të dhënave.
U1.5.3. përmes menaxhimit interaktiv nga ana e sulmuesve të funksionimit të softuerit të përpunimit të të dhënave.

MODEL I STANDARDIZUAR TË KËRCËNIMEVE. SISTEMI I MBROJTJES KRIPTOGRAFIKE TË INFORMACIONIT

Objekti i mbrojtjes, për të cilin aplikohet modeli i kërcënimeve (scope)

Objekti i mbrojtjes është sistemi i mbrojtjes kripterografike të informacionit, i përdorur për të siguruar sigurinë e sistemit informatik.

Arkitektura
Baza e çdo sistemi informatik është software aplikativ (POS) që realizon funksionalitetin e tij të synuar.

Mbrojtja kriptografike shpesh realizohet pĂ«rmes thirrjes sĂ« primitieveve kriptografike nga logjika e biznesit tĂ« softuerit aplikativ, tĂ« cilat vendosen nĂ« biblioteka tĂ« specializuara – bĂ«rthama kriptografike.

Primitivet kriptografike përfshijnë funksione kriptografike të nivelit të ulët, të tilla si:

  • tĂ« enkriptojĂ« / dekryptojĂ« njĂ« bllok tĂ« dhĂ«nash;
  • tĂ« krijojĂ« / verifikojĂ« njĂ« nĂ«nshkrim elektronik pĂ«r njĂ« bllok tĂ« dhĂ«nash;
  • tĂ« llogarisĂ« njĂ« funksion hash pĂ«r njĂ« bllok tĂ« dhĂ«nash;
  • tĂ« formojĂ« / ngarkojĂ« / shkarkojĂ« informacionin e çelĂ«sit;
  • etj.

Logjika e biznesit të softuerit aplikativ me ndihmën e primitivëve kriptografikë realizon funksionalitete më të larta:

  • tĂ« enkriptojĂ« njĂ« skedar me çelĂ«sat e marrĂ«sve tĂ« zgjedhur;
  • tĂ« vendosĂ« njĂ« lidhje tĂ« sigurt nĂ« rrjet;
  • tĂ« informojĂ« mbi rezultatet e verifikimit tĂ« nĂ«nshkrimit elektronik;
  • e tĂ« tjera.

Ndërveprimi mes logjikës së biznesit dhe bërthamës kriptografike mund të bëhet:

  • direkt, duke thirrur primitivĂ«t kriptografikĂ« nga logjika e biznesit nga bibliotekat dinamike tĂ« bĂ«rthamĂ«s kriptografike (.DLL – pĂ«r Windows, .SO – pĂ«r Linux);
  • ndĂ«rmjetĂ«sisht, pĂ«rmes interfaceve kriptografike – mbĂ«shtjellĂ«sve (wrappers), pĂ«r shembull, MS Crypto API, Java Cryptography Architecture, PKCS#11 etj. NĂ« kĂ«tĂ« rast, logjika e biznesit i drejtohet kripto-interfacit, dhe ai e translen tĂ« thirrjen nĂ« bĂ«rthamĂ«n pĂ«rkatĂ«se kriptografike, e cila nĂ« njĂ« rast tĂ« tillĂ« quhet provajder kriptografik. PĂ«rdorimi i interfaceve kriptografike lejon softuerit aplikativ tĂ« abstenojĂ« nga algoritmet konkrete kriptografike dhe tĂ« jetĂ« mĂ« fleksibĂ«l.

Mund të dallohet dy skema standarde për organizimin e bërthamës kriptografike:

Skema 1 – BĂ«rthama kriptografike monolite
Siguria informative e pagesave bankare pa para. Pjesa 8 — Modelet standarde tĂ« kĂ«rcĂ«nimeve

Skema 2 – BĂ«rthama kriptografike tĂ« ndarĂ«
Siguria informative e pagesave bankare pa para. Pjesa 8 — Modelet standarde tĂ« kĂ«rcĂ«nimeve

Elementët në skemat e përmendura mund të jenë si module të veçanta të softuerit që punojnë në një kompjuter, ashtu edhe shërbime rrjetëse që ndërveprojnë brenda një rrjeti kompjuterik.

Në përdorimin e sistemeve të ndërtuara sipas skemës 1, softueri aplikativ dhe bërthama kriptografike punojnë brenda një mjedisi të vetëm funksional të mjeteve kriptografike (MFK), për shembull, në të njëjtin kompjuter, nën menaxhimin e së njëjtës sistem operativ. Përdoruesi i sistemit, zakonisht, mund të fillojë gjithashtu brenda këtij të njëjti mjedisi funksional dhe programe të tjera, përfshirë ato që përmbajnë kod të dëmshëm. Nën kushte të tilla, ekziston një rrezik të konsiderueshëm për rrjedhjen e çelësave të mbyllur kriptografikë.

Për të minimalizuar rrezikun, aplikohet skema 2, ku bërthama kriptografike ndahet në dy pjesë:

  1. Pjesa e parĂ« sĂ« bashku me softuerin aplikativ punon nĂ« njĂ« mjedis tĂ« pa besueshĂ«m, ku ekziston rreziku i infektimit me kod tĂ« dĂ«mshĂ«m. TĂ« kĂ«saj pjese do ta quajmĂ« – "pjesa e softuerit".
  2. Pjesa e dytĂ« punon nĂ« njĂ« mjedis tĂ« besueshĂ«m nĂ« njĂ« pajisje tĂ« dedikuar, e cila pĂ«rmban njĂ« depo tĂ« çelĂ«save tĂ« mbyllur. TĂ« kĂ«saj pjese do ta quajmĂ« – "pjesa harduerike".

Ndarja e bĂ«rthamĂ«s kriptografike nĂ« pjesĂ« softuerike dhe harduerike Ă«shtĂ« mjaft e kushtĂ«zuar. NĂ« treg ka sisteme tĂ« ndĂ«rtuara sipas skemĂ«s me bĂ«rthamĂ« tĂ« ndarĂ«, por "pjesa harduerike" e tĂ« cilave paraqitet nĂ« formĂ«n e njĂ« imazhi tĂ« makinerisĂ« virtuale — virtual HSM (shembull).

Ndërveprimi mes të dyja pjesëve të bërthamës kriptografike ndodh në një mënyrë të tillë që çelësat e mbyllur kriptografikë kurrë nuk transferohen në pjesën softuerike dhe, për pasojë, nuk mund të vidhen përmes kodit të dëmshëm.

Interfaca e ndërveprimit (API) dhe grupi i primitivave kriptografikë, që ofrohen aplikacionit të softuerit nga pika e kriptos, janë në të dy rastet të njëjtë. Dallimi qëndron në mënyrën e realizimit të tyre.

Kështu, kur përdoret skema me pika kripto të ndara, ndërveprimi i pjesës programore dhe asaj harduerike kryhet mbi këtë princip:

  1. Primitivat kriptografikë, që nuk kërkojnë përdorimin e çelësit të mbyllur (p.sh., llogaritja e funksionit hash, kontrolli i nënshkrimit elektronik etj.), kryhen nga pjesa programore.
  2. Primitivat kriptografikë, që përdorin çelësin e mbyllur (krijimi i nënshkrimit elektronik, dekriptimi i të dhënave etj.), kryhen nga pjesa harduerike.

Do të ilustrojmë funksionimin e pikës kripto të ndarë për shembullin e krijimit të nënshkrimit elektronik:

  1. Pjesa programore llogarit funksionin hash të të dhënave të nënshkruara dhe përmes kanalit të shkëmbimit ndërmjet pikave kripto dërgon këtë vlerë në pjesën harduerike.
  2. Pjesa harduerike, duke përdorur çelësin e mbyllur dhe hash-in, formon vlerën e nënshkrimit elektronik dhe përmes kanalit të shkëmbimit e dërgon atë në pjesën programore.
  3. Pjesa programore e kthen vlerën e marrë në aplikacionin e përdoruesit.

Karakteristikat e verifikimit të saktësisë së nënshkrimit elektronik

Kur fillon tuba e pranuesit të dhënat e nënshkruara me nënshkrim elektronik, ai duhet të kalojë disa etapa verifikimi. Një rezultat pozitiv i verifikimit të nënshkrimit elektronik arrihet vetëm pas kalimit me sukses të të gjitha etapave të verifikimit.

Etapa 1. Kontrolli i integritetit të të dhënave dhe autorësisë së tyre.

Përmbajtja e etapës. Kjo përfshin verifikimin e nënshkrimit elektronik të të dhënave sipas algoritmit përkatës kriptografik. Kalimi me sukses i këtij etape tregon që të dhënat nuk janë modifikuar që nga nënshkrimi, dhe gjithashtu se nënshkrimi është kryer me çelësin privat të cilit i përgjigjet çelësi publik për verifikimin e nënshkrimit elektronik.
Vendi i kryerjes së etapës: kriptoqendra.

Etapa 2. Kontrolli i besueshmërisë ndaj çelësit publik të nënshkruarit dhe kontrolli i afatit të çelësit privat të nënshkrimit elektronik.
Përmbajtja e etapës. Kjo etapë përbëhet nga dy nën-etapa. Në të parën, vendoset nëse çelësi publik për verifikimin e nënshkrimit elektronik ishte i besueshëm në momentin e nënshkrimit të të dhënave. Në të dytën, vendoset nëse çelësi privat i nënshkrimit elektronik ka qenë aktiv në momentin e nënshkrimit të të dhënave. Në rastin e përgjithshëm, afatet e vlefshmërisë së këtyre çelësave mund të mos përkojnë (p.sh., për certifikata të kualifikuara të çelësave të verifikimit të nënshkrimeve elektronike). Mënyrat për të përcaktuar besueshmërinë e çelësit publik të nënshkruarit përcaktohen nga rregullat e shkëmbimit elektronik të dokumenteve të miratuara nga palët që bashkëpunojnë.
Vendi i kryerjes së etapës: softuer aplikues / kriptoqendër.

Etapa 3. Kontrolli i autorizimit të nënshkruesit.
Përmbajtja e etapës. Sipas rregullave të përcaktuara për shkëmbimin elektronik të dokumenteve, kontrollohet nëse nënshkruesi kishte të drejtë të vërtetonte të dhënat e mbrojtura. Për shembull, le të marrim një situatë shkeljeje të autorizimit. Supozoni se ka një organizatë ku të gjithë punonjësit kanë nënshkrim elektronik. Në sistemin e brendshëm të shkëmbimit elektronik të dokumenteve arrin një urdhër nga drejtori, por i nënshkruar me nënshkrim elektronik nga menaxheri i magazinës. Si rrjedhojë, një dokument i tillë nuk mund të konsiderohet legjitim.
Vendi i kryerjes së etapës: softuer aplikues.

Supozimet e pranuara gjatë përshkrimit të objektit të mbrojtjes

  1. Kanalet e transferimit të informacionit, përveç kanaleve të shkëmbimit të çelësave, kalojnë gjithashtu përmes softuerit aplikues, API dhe kriptoqendrës.
  2. Informacioni mbi besueshmërinë ndaj çelësave publikë dhe (ose) certifikatave, si dhe informatat mbi autorizimin e pronarëve të çelësave publikë, ruhen në depozitat e çelësave publikë.
  3. Softueri aplikues punon me depozitat e çelësave publikë përmes kriptoqendrës.

Shembull i një sistemi informatik të mbrojtur me ndihmën e SKZI

Për të ilustruar skemat e paraqitura më parë, le të shqyrtojmë një sistem informatik hipotezë dhe të ndajmë të gjithë elementët strukturalë të tij.

PĂ«rshkrimi i sistemit informatik

Siguria informative e pagesave bankare pa para. Pjesa 8 — Modelet standarde tĂ« kĂ«rcĂ«nimeve

Dy organizata vendosĂ«n tĂ« implementojnĂ« njĂ« shkĂ«mbim elektronik dokumentesh (ËD) me rĂ«ndĂ«si ligjore ndĂ«rmjet tyre. PĂ«r kĂ«tĂ« arsye, ato nĂ«nshkruan njĂ« marrĂ«veshje, nĂ« tĂ« cilĂ«n pĂ«rcaktohet se dokumentet do tĂ« dĂ«rgohen pĂ«rmes postĂ«s elektronike, duke u kriptuar dhe nĂ«nshkruar me nĂ«nshkrim elektronik tĂ« kualifikuar. Si mjete pĂ«r krijimin dhe pĂ«rpunimin e dokumenteve duhet tĂ« pĂ«rdoren programet zyrtare nga paketa Microsoft Office 2016, dhe si mjete pĂ«r mbrojtjen kriptografike — SKZI KriptoPRO dhe softuerin e enkriptimit KriptoARM.

Përshkrimi i infrastrukturës të organizatës 1

Organizata 1 vendosi tĂ« installojĂ« SKZI KryptoPRO dhe softuerin KryptoARM nĂ« AРМ-nĂ« e pĂ«rdoruesit — kompjuterin fizik. ÇelĂ«sat e enkriptimit dhe nĂ«nshkrimit elektronik do tĂ« ruhen nĂ« njĂ« aparat kyç ruToken, qĂ« punon nĂ« modalitetin e çelĂ«sit tĂ« kĂ«tushĂ«m. PĂ«rdoruesi do tĂ« pĂ«rgatisĂ« dokumentet elektronike lokal nĂ« kompjuterin e tij, pas çka do t’i enkriptojĂ«, nĂ«nshkruajĂ« dhe dĂ«rgojĂ« pĂ«rmes klientit tĂ« postĂ«s tĂ« instaluar lokal.

Përshkrimi i infrastrukturës së organizatës 2

Organizata 2 vendosi të transferojë funksionet e enkriptimit dhe nënshkrimit elektronik në një makinë virtuale të dedikuar. Të gjitha operacionet kriptografike do të realizohen në modalitetin automatik.

PĂ«r kĂ«tĂ«, nĂ« makinĂ«n virtuale tĂ« dedikuar janĂ« organizuar dy dosje rrjetesh: « In», « Out». NĂ« dosjen rrjete « In» do tĂ« transferohen automatikisht skedarĂ«t e pranuar nga kontraktori nĂ« formĂ« tĂ« hapur. KĂ«ta skedarĂ« do tĂ« dekriptohen dhe mbi ta do tĂ« verifikohet nĂ«nshkrimi elektronik.

NĂ« dosjen « Out» pĂ«rdoruesi do tĂ« vendosĂ« skedarĂ«t qĂ« duhet tĂ« enkriptohen, nĂ«nshkruhen dhe dĂ«rgohen kontraktorit. SkedarĂ«t vetĂ« pĂ«rdoruesi do t'i pĂ«rgatisĂ« nĂ« AРМ-nĂ« e tij.
Për realizimin e funksioneve të enkriptimit dhe nënshkrimit elektronik në makinën virtuale janë instaluar SKZI KryptoPRO, softueri KryptoARM dhe klienti i postës. Menaxhimi automatik i të gjithë elementeve të makinës virtuale do të realizohet përmes skripteve të zhvilluara nga administratorët e sistemeve. Puna e skripteve do të protokollohet në skedarë të regjistrave (logs).

ÇelĂ«sat kriptografikĂ« tĂ« nĂ«nshkrimit elektronik do tĂ« ruhen nĂ« njĂ« token tĂ« paçarmisshĂ«m JaCarta GOST, tĂ« cilin pĂ«rdoruesi do ta lidhĂ« me kompjuterin e tij lokal.

Token do tĂ« transmetohet nĂ« makinĂ«n virtuale pĂ«rmes mjeteve tĂ« specializuara software USB-over-IP, tĂ« instaluara si nĂ« AРМ-nĂ« e pĂ«rdoruesit ashtu edhe nĂ« makinĂ«n virtuale.

OrĂ«t sistemike nĂ« AРМ-nĂ« e pĂ«rdoruesit nĂ« organizatĂ«n 1 do tĂ« rregullohen manualisht. OrĂ«t sistemike tĂ« makinĂ«s virtuale tĂ« specializuar nĂ« organizatĂ«n 2 do tĂ« sinkronizohen me orĂ«t sistemike tĂ« hipervizorit, i cili, nga ana e tij, do tĂ« sinkronizohet nĂ«pĂ«rmjet Internetit me serverĂ«t publikĂ« tĂ« kohĂ«s.

Dallohet elementet strukturore të SKZI
Në përputhje me përshkrimin e dhënë të Infrastrukturës IT, do të dallojmë elementet strukturore të SKZI-së dhe do t'i regjistrojmë ato në një tabelë.

TabelĂ« — PĂ«rputhja e elementeve tĂ« modelit SKZI me elementet e sistemeve informacionit

Emri i elementit
Organizata 1
Organizata 2

Softueri aplikativ
Software KryptoARM
Software KryptoARM

Pjesa programore e kripto-nukës
SKZI KryptoPRO CSP
SKZI KryptoPRO CSP

Pjesa hardware e kripto-nukës
mungon
JaCarta GOST

API
MS CryptoAPI
MS CryptoAPI

Depozita e çelësave publik
AРМ i pĂ«rdoruesit:
— disku i harduerit;
— depozita standarde e certifikatave tĂ« Windows.
Hipervizori:
— disku i harduerit.

Makinë virtuale:
— disku i harduerit;
— depozita standarde e certifikatave tĂ« Windows.

Depozita e çelësave privat
Pajisja ruToken, që punon në modalitetin e çelësit të këtushëm
Pajisja JaCarta GOST, që punon në modalitetin e çelësit të paçarmishëm

Kanali i shkëmbimit të çelësave publik
AРМ i pĂ«rdoruesit:
— memorie operative.

Hipervizori:
— memorie operative.

Makinë virtuale:
— memorie operative.

Kanali i shkëmbimit të çelësave privat
AРМ i pĂ«rdoruesit:
— autobusi USB;
— memorie operative.
mungon

Kanali i shkëmbimit midis kripto-nukave
nuk ka (nuk ka pjesë hardware e kripto-nukës)
AРМ i pĂ«rdoruesit:
— autobusi USB;
— memorie operative;
— moduli programor USB-over-IP;
— ndĂ«rfaqja rrjetore.

Rrjeti korporativ i organizatës 2.

Hipervizori:
— memorie operative;
— ndĂ«rfaqja rrjetore.

Makinë virtuale:
— ndĂ«rfaqja rrjetore;
— memorie operative;
— moduli programor USB-over-IP.

Kanali i shkëmbimit të të dhënave të hapura
AРМ i pĂ«rdoruesit:
— mjetet e hyrjes dhe daljes;
— memorie operative;
— disku i harduerit.
AРМ i pĂ«rdoruesit:
— mjetet e hyrjes dhe daljes;
— memorie operative;
— disku i harduerit;
— ndĂ«rfaqja rrjetore.

Rrjeti korporativ i organizatës 2.

Hipervizori:
— ndĂ«rfaqja rrjetore;
— memorie operative;
— disku i harduerit.

Makinë virtuale:
— ndĂ«rfaqja rrjetore;
— memorie operative;
— disku i harduerit.

Kanali i shkëmbimit të të dhënave të mbrojtura
Internet.

Rrjeti korporativ i organizatës 1.

AРМ i pĂ«rdoruesit:
— disku i harduerit;
— memorie operative;
— ndĂ«rfaqja rrjetore.

Internet.

Rrjeti korporativ i organizatës 2.

Hipervizori:
— ndĂ«rfaqja rrjetore;
— memorie operative;
— disku i harduerit.

Makinë virtuale:
— ndĂ«rfaqja rrjetore;
— memorie operative;
— disku i harduerit.

Kanali i transmetimit të kohës
AРМ i pĂ«rdoruesit:
— mjetet e hyrjes dhe daljes;
— memorie operative;
— timeri sistematik.

Internet.
Rrjeti korporativ i organizatës 2,

Hipervizori:
— ndĂ«rfaqja rrjetore;
— memorie operative;
— timeri sistematik.

Makinë virtuale:
— memorie operative;
— timeri sistematik.

Kanali i transmetimit të komandave menaxhuese
AРМ i pĂ«rdoruesit:
— mjetet e hyrjes dhe daljes;
— memorie operative.

(Ndërfaqja grafike e përdoruesit të softuerit KryptoARM)

Makinë virtuale:
— memorie operative;
— disku i harduerit.

(Skripte automatizimi)

Kanali i pranimit të rezultateve të punës
AРМ i pĂ«rdoruesit:
— mjetet e hyrjes dhe daljes;
— memorie operative.

(Ndërfaqja grafike e përdoruesit të softuerit KryptoARM)

Makinë virtuale:
— memorie operative;
— disku i harduerit.

(Skedarët e regjistrave të punës së skripteve të automatizimit)

Kërcënime për sigurinë në nivelin e lartë

Sqarime

Supozimet e pranuara gjatë dekompozimit të kërcënimeve:

  1. Përdoren algoritme kriptografike të forta.
  2. Algoritmet kriptografike përdoren në mënyrë të sigurt në modet e duhura të funksionimit (p.sh., ECB nuk përdoret për enkriptimin e sasive të mëdha të të dhënave, duke marrë parasysh ngarkesën e lejuar mbi çelës etj.).
  3. Keqbërësit janë të njohur me të gjithë algoritmet, protokollet dhe çelësat publikë që përdoren.
  4. Keqbërësit kanë akses për të lexuar të gjitha të dhënat e enkriptuara.
  5. Keqbërësit janë në gjendje të riprodhojnë çdo element programor në sistem.

Dekompocimi

U1. Komprometimi i çelësave kriptografikë privat.
U2. Enkriptimi i të dhënave të rreme në emër të dërguesit legjitim.
U3. Dekriptimi i të dhënave të enkriptuara nga persona që nuk janë marrës të legjitim të të dhënave (keqbërës).
U4. Krijimi i nënshkrimit elektronik të nënshkruesit legjitim me të dhëna të rreme.
U5. Marrja e një rezultati pozitiv në verifikimin e nënshkrimit elektronik të të dhënave të rreme.
U6. Pranimi gabim i dokumenteve elektronike për zbatim për shkak të problemeve në organizimin e dokumentacionit elektronik.
U7. Qasje të paautorizuar në të dhënat e mbrojtura gjatë përpunimit nga SKZI.

U1. Komprometimi i çelësave të mbyllur kriptografik.

U1.1. Marrja e çelësit të mbyllur nga depoja e çelësave të mbyllur.

U1.2. Marrja e çelësit të mbyllur nga objektet e mjedisit të funksionimit të mjeteve kriptografike, ku ai mund të qëndrojë përkohësisht.
Shpjegime U1.2.

Objektet ku çelësi i mbyllur mund të ruhet përkohësisht përfshijnë:

  1. memoria operative,
  2. skedarët e përkohshëm,
  3. skedarët e ndihmës,
  4. skedarët e hibernimit,
  5. skedarët e snapshoteve të gjendjes "aktive" të makinerive virtuale, duke përfshirë skedarët e përmbajtjes së memories operative të makinerive virtuale që janë pezulluar.

U1.2.1. Nxjerrja e çelësave të mbyllur nga memoria operative aktive duke ngrirë modulet e RAM-it, duke i nxjerrë ato dhe pastaj duke lexuar të dhënat (freeze attack).
Shpjegime U1.2.1.
Shembuj të sulmit.

U1.3. Marrja e çelësi të mbyllur nga kanali i shkëmbimit të çelësave të mbyllur.
Shpjegime U1.3.
Një shembull i realizimit të këtij rreziku do të jepet. më poshtë.

U1.4. Modifikimi të paautorizuar i bërthamës kriptografike, rezultati i së cilës është se çelësat e mbyllur bëhen të njohur për sulmuesit.

U1.5. Komprometimi i çelësit të mbyllur si rezultat i përdorimit të kanaleve teknike të rrjedhjes së informacioneve (TKUI).
Shpjegime U1.5.
Shembuj të sulmit.

U1.6. Komprometimi i çelësit të mbyllur si rezultat i përdorimit të mjeteve teknike speciale (STS) të destinuara për të tërhequr informacione në fshehtësi ("bug").

U1.7. Komprometimi i çelësave të mbyllur gjatë ruajtjes së tyre jashtë SKZI.
Shpjegime U1.7.
Për shembull, një përdorues ruan veglat e tij të çelësit në sirtarin e tavolinës së punës, nga i cili ato mund të nxirren lehtë nga sulmuesit.

U2. Enkriptimi i të dhënave të rreme në emër të dërguesit legjitim.

Sqarime
Ky rrezik shqyrtohet vetëm për skemat e enkriptimit të të dhënave me autentikimin e dërguesit. Shembuj të tillë të skemave janë të përfshira në rekomandimet për standardizimin. R 1323565.1.004-2017 "Teknologji informative. Mbrojtja kriptografike e informacionit. Skemat e prodhimit të çelësit të përbashkët me autentikim në bazë të çelësit publik".. Për skemat e tjera kriptografike nuk ekziston ky rrezik, pasi enkriptime bëhet me çelësat publikë të marrësit, të cilët në përgjithësi janë të njohur për sulmuesit.

Dekompocimi
U2.1. Komprometimi i çelësit të mbyllur të dërguesit:
U2.1.1. Lidhja: "Modeli standard i rreziqeve. Sistemi i mbrojtjes kriptografike të informacionit. U1. Komprometimi i çelësave të mbyllur kriptografik.".

U2.2. Zëvendësimi i të dhënave hyrëse në kanalin e shkëmbimit të të dhënave publike.
Shënime U2.2.
Shembuj të realizimit të këtij rreziku jepen më poshtë. këtu dhe këtu.

U3. Zhvillimi i të dhënave të enkriptuara nga persona që nuk janë marrës legjitim të të dhënave (sulmuesit).

Dekompocimi
U3.1. Komprometimi i çelësave të mbyllur të marrësit të të dhënave të enkriptuara.
U3.1.1. Referenca: "Modeli standard i rreziqeve. Sistemi i mbrojtjes kriptografike të informacionit. U1. Komprometimi i çelësave të mbyllur kriptografik.".

U3.2. Zëvendësimi i të dhënave të enkriptuara në kanalin e shkëmbimit të të dhënave të mbrojtura.

U4. Krijimi i nënshkrimit elektronik të nënshkruesit legjitim me të dhëna të rreme.

Dekompocimi
U4.1. Komprometimi i çelësave të mbyllur të nënshkrimit elektronik të nënshkruesit legjitim.
U4.1.1. Referenca: "Modeli standard i rreziqeve. Sistemi i mbrojtjes kriptografike të informacionit. U1. Komprometimi i çelësave të mbyllur kriptografik.".

U4.2. Zëvendësimi i të dhënave që nënshkruhen në kanalin e shkëmbimit të të dhënave publike.
Shënim U4.2.
Shembuj të realizimit të këtij rreziku jepen më poshtë. këtu dhe këtu.

U5. Marrja e një rezultati pozitiv në verifikimin e nënshkrimit elektronik të të dhënave të rreme.

Dekompocimi
U5.1. Sulmuesit kapin në kanalin e transmetimit të rezultateve të punës një mesazh mbi rezultatin negativ të verifikimit të nënshkrimit elektronik dhe e zëvendësojnë atë me një mesazh me rezultat pozitiv.

U5.2. Sulmuesit kryejnĂ« njĂ« sulm nĂ« besueshmĂ«rinĂ« e certifikatave tĂ« nĂ«nshkrimit (SKENARI — tĂ« gjitha elementet janĂ« tĂ« detyrueshme.):
U5.2.1. Sulmuesit gjenerojnë një çelës të hapur dhe një çelës të mbyllur të nënshkrimit elektronik. Nëse sistemi përdor certifikata të çelësave elektronikë të nënshkrimit, ata gjenerojnë një certifikatë të nënshkrimit elektronik që është sa më afër të jetë e mundur me certifikatën e dërguesit të supozuar të të dhënave, mesazhin e të cilit dëshirojnë ta falsifikojnë.
U5.2.2. Sulmuesit bëjnë ndryshime të paautorizuara në depozitat e çelësave publikë, duke u dhënë çelësit të hapur të gjeneruar prej tyre nivelin e nevojshëm të besueshmërisë dhe autorizimeve.
U5.2.3. Sulmuesit nënshkruajnë të dhëna të rreme me çelësin e nënshkrimit digjital të formuar më parë dhe i integropozitojnë ato në kanalin e shkëmbimit të të dhënave të mbrojtura.

U5.3. Sulmuesit realizojnĂ« njĂ« sulm duke pĂ«rdorur çelĂ«sa tĂ« skaduar tĂ« nĂ«nshkrimit digjital tĂ« nĂ«nshkruesit ligjor (SKENARI — tĂ« gjitha elementet janĂ« tĂ« detyrueshme.):
U5.3.1. Sulmuesit komprometojnë çelësa privatë të skaduar (të pavlefshëm në atë moment) të dërguesit legjitim.
U5.3.2. Sulmuesit ndryshojnë kohën në kanalin e transmetimit të kohës në një kohë kur çelësat e komprometuar ishin akoma të vlefshëm.
U5.3.3. Sulmuesit nënshkruajnë të dhëna të rreme me çelësin e nënshkrimit digjital të komprometuar më parë dhe i integrojnë ato në kanalin e shkëmbimit të të dhënave të mbrojtura.

U5.4. Sulmuesit realizojnĂ« njĂ« sulm duke pĂ«rdorur çelĂ«sa tĂ« komprometuar tĂ« nĂ«nshkrimit digjital tĂ« nĂ«nshkruesit ligjor (SKENARI — tĂ« gjitha elementet janĂ« tĂ« detyrueshme.):
U5.4.1. Sulmuesit krijojnë një kopje të depozitës së çelësave publikë.
U5.4.2. Sulmuesit komprometojnë çelësa privatë të një nga dërguesit legjitimë. Ai e vëren komprometimin, tërheq çelësat, dhe informacioni rreth tërheqjes së çelësit vendoset në depozitën e çelësave publikë.
U5.4.3. Sulmuesit zëvendësojnë depozitën e çelësave publikë me atë që kishin kopjuar më parë.
U5.4.4. Sulmuesit nënshkruajnë të dhëna të rreme me çelësin e nënshkrimit digjital të komprometuar më parë dhe i integroni ato në kanalin e shkëmbimit të të dhënave të mbrojtura.

U5.5. për shkak të gabimeve në implementimin e fazës së 2-të dhe 3-të të verifikimit të nënshkrimit digjital:
Shpjegimet U5.5.
Shembulli i implementimit të këtij kërcënimi është paraqitur më poshtë.

U5.5.1. Verifikimi i besueshmërisë ndaj çertifikatës së çelësit të nënshkrimit digjital vetëm në bazë të pranisë së besueshmërisë ndaj çertifikatës me të cilin është nënshkruar, pa verifikime CRL ose OCSP.
Shpjegimet U5.5.1.
Shembulli i realizimit kërcënime.

U5.5.2. Kur ndërtosh zinxhirin e besueshmërisë për një çertifikatë, nuk analizohet autoriteti i çertifikatave lansuese
Shpjegimet U5.5.2.
Shembulli i një sulmi ndaj çertifikatave SSL/TLS.
Sulmuesit blenë një çertifikatë legjitime për e-mailin e tyre. Më pas ata bënë një çertifikatë mashtruese për një sit dhe e nënshkruan atë me çertifikatën e tyre. Nëse nuk kryhet verifica e autoritetit, atëherë në verifikimin e zinxhirit të besueshmërisë ai do të rezultojë i saktë, dhe për pasojë, çertifikata mashtruese do të jetë gjithashtu korrekte.

U5.5.3. Kur ndërtosh zinxhirin e besueshmërisë për një çertifikatë, nuk kontrollohen çertifikatat ndërmjetëse për tërheqje.

U5.5.4. Përditësimi i CRL ndodh më rrallë sesa lëshohen nga autoriteti certifikues.

U5.5.5. Vendimi për besueshmërinë ndaj nënshkrimit digjital merret para se të pranohet përgjigja OCSP mbi statusin e çertifikatës, e cila është dërguar pas një kërkese të bërë më vonë se koha e formimit të nënshkrimit ose përpara se të pranohet CRL-i i ardhshëm pas formimit të nënshkrimit.
Shpjegimet U5.5.5.
Në rregulloret e shumicës së AC-ve, koha e tërheqjes së çertifikatës konsiderohet koha e lëshimit të CRL-të më të afërt, që përmban informacionin mbi tërheqjen e çertifikatës.

U5.5.6. Kur pranohet të dhëna të nënshkruara, nuk kontrollohet përkatësia e çertifikatës ndaj dërguesit.
Shpjegimet U5.5.6.
Shembulli i një sulmi. Në lidhje me çertifikatët SSL: mund të mos kontrollohet përputhja e adresës së serverit të ndihmuar me vlerën e fushes CN në çertifikatë.
Shembulli i një sulmi. Sulmuesit kanë komprometuar çelësat e nënshkrimit digjital të njërit nga pjesëmarrësit në sistemin e pagesave. Më pas ata kanë thyer rrjetin e një pjesëmarrësi tjetër dhe në emër të tij dërguan në serverin e llogarisë së sistemit të pagesave dokumentet e pagesës, të nënshkruara me çelësat e komprometuar. Nëse serveri analizon vetëm besueshmërinë dhe nuk kontrollon përputhshmërinë, atëherë dokumentet mashtruese do të konsiderohen legjitime.

U6. Pranimi gabim i dokumenteve elektronike për zbatim për shkak të problemeve në organizimin e dokumentacionit elektronik.

Dekompocimi
U6.1. AnĂ«tari qĂ« pranon nuk zb揑现 njohjen e dokumenteve tĂ« marra.
Shpjegimet U6.1.
Shembulli i një sulmi. Sulmuesit mund të kapin dokumentin e transmetuar në drejtim të marrësit, madje edhe në kushte të mbrojtura me kriptografi, dhe më pas ta dërgojnë atë shumë herë në kanalin e transmetimit të të dhënave të mbrojtura. Nëse marrësi nuk identifikon dublikatat, të gjitha dokumentet e marra do të perceptohen dhe përpunohen si dokumente të ndryshme.

U7. Qasja e paautorizuar ndaj të dhënave të mbrojtura gjatë përpunimit të SKZI

Dekompocimi

U7.1. si rezultat i rrjedhjes së informacionit përmes kanaleve të jashtme (kështu sulm i kanalit anësor).
Shpjegimet U7.1.
Shembuj të sulmit.

U7.2. si rezultat i neutralizimit të mbrojtjes nga qasja e paautorizuar në informacionin e përpunuar në SKZI:
U7.2.1. Shfrytëzimi i SKZI me shkelje të kërkesave të përshkruara në dokumentacionin mbi SKZI.

U7.2.2. , e realizuar me shkak të pranisë së dobësive në:
U7.2.2.1. mjeteve mbrojtëse nga qasja e paautorizuar.
U7.2.2.2. vetë SKZI.
U7.2.2.3. mjedisin e funksionimit të mjeteve kriptografike.

shembuj sulmesh

Skema të trajtuara më poshtë përmbajnë qëllimisht gabime në organizimin e sigurisë informacionit dhe shërbejnë vetëm për ilustruese të mundshmeve të sulmimeve.

Skema 1. Shembuj i implementimit të kërcënimeve U2.2 dhe U4.2.

PĂ«rshkrimi i objektit
Siguria informative e pagesave bankare pa para. Pjesa 8 — Modelet standarde tĂ« kĂ«rcĂ«nimeve

SOFTWARE I ARM KBR dhe SCZI SCAD Sigantura është vendosur në një kompjuter fizik, i papërfshirë në rrjetin e kompjuterëve. Si një mjet kyç përdoret FKN vdToken në modin e punës me një çelës të pa nxjerrshëm.

Rregulli për realizimin e llogarive parashikon që specialisti i llogarive shkarkon mesazhet elektronike nga kompjuteri i tij të punës në formë të hapur (skema e vjetër e ARM KBR) nga një server të sigurt të dosjeve, pastaj i regjistron ato në një mjet të jashtëm USB dhe i transferon në ARM KBR, ku ato kodifikohen dhe nënshkruhen. Pas kësaj, specialisti transferon në një mjet të jashtëm mesazhet elektronike të mbrojtura, dhe më pas përmes kompjuterit të tij të punës i regjistron ato në serverin e dosjeve, nga ku kalojnë në UTA dhe më pas në sistemin e pagesave të Bankës së Rusisë.

Në këtë rast, kanalet e shkëmbimit të të dhënave të hapura dhe të mbrojtura do të përfshijnë: serverin e dosjeve, kompjuterin e punës të specialistit dhe mjetin e jashtëm.

Sulmi
Hakerët e paautorizuar instalohet në kompjuterin e punës të specialistit një sistem të menaxhimit të largët dhe në momentin kur regjistrohet në mjetin e jashtëm pagesat (mesazhet elektronike) në formë të hapur, ndryshojnë përmbajtjen e njërit prej tyre. Specialistit transferon pagesat në ARM KBR, nënshkruan dhe kodifikojnë ato, pa e vënë re ndryshimin (p.sh., për shkak të numrit të madh të pagesave në rrugë, lodhjes etj.). Pas kësaj, pagesa e falsifikuar, duke kaluar përmes zinxhirit teknologjik, kalon në sistemin e pagesave të Bankës së Rusisë.

Skema 2. Shembuj i implementimit të kërcënimeve U2.2 dhe U4.2.

PĂ«rshkrimi i objektit
Siguria informative e pagesave bankare pa para. Pjesa 8 — Modelet standarde tĂ« kĂ«rcĂ«nimeve

Kompiuteri me instalimet e ARM KBR, SCAD Sigantura dhe me mjetin kyç të lidhur FKN vdToken funksionon në një ambient të dedikuar pa akses nga ana e personelit.
Specialisti i llogarive lidhet me ARM KBR në modin e aksesit të largët përmes protokollit RDP.

Sulmi
Hakerët presin kredencialet që specialisti i llogarive përdor për t'u lidhur dhe për të punuar me ARM KBR (p.sh., përmes kodit të dëmshëm në kompjuterin e tij). Më pas, ata lidhë në emrin e tij dhe dërgojnë një porosi të falsifikuar në sistemin e pagesave të Bankës së Rusisë.

Skema 3. Shembuj i implementimit të kërcënimit U1.3.

PĂ«rshkrimi i objektit
Siguria informative e pagesave bankare pa para. Pjesa 8 — Modelet standarde tĂ« kĂ«rcĂ«nimeve

Të shqyrtojmë një nga opsionet hipotetike të implementimit të moduleve të integrimit "ABS-KBR" për skemën e re (ARM KBR-N), ku nënshkrimi elektronik i dokumenteve në dalje ndodh në anën e ABS. Në këtë rast, le të presim që ABS funksionon mbi një sistem operativ që nuk mbështetet nga SCZI SCAD Sigantura, dhe, për pasojë, funksionaliteti kriptografik është transferuar në një makinë virtuale të veçantë - moduli i integrimit "ABS-KBR".
Si një mjet kyç përdoret një USB-tokën e zakonshme, e cila punon në modin e çelësit të nxjerrshëm. Kur është lidhur mjeti kyç në hipervizor, u shqyrtua se nuk kishte porte USB të lira në sistem, prandaj u vendos të lidhej USB-tokën nëpërmjet një koncentratori USB në rrjet, dhe në makinë virtuale të instaloheshin klienti USB-over-IP, i cili do të realizonte lidhjen me koncentratorin.

Sulmi
Hakerët e kapën çelësin privat të nënshkrimit elektronik në kanalin e komunikimit midis koncentratorit USB dhe hipervizorit (të dhënat u dërguan në formë të hapur). Duke pasur çelësin privat, hakerët formuluan një porosi të falsifikuar të pagesës, e nënshkruan me nënshkrimin elektronik dhe e dërguan për ekzekutim në ARM KBR-N.

Skema 4. Shembuj i implementimit të kërcënimeve U5.5.

PĂ«rshkrimi i objektit
Të shqyrtojmë të njëjtën skemë si në skemën e mëparshme. Le të supozojmë se mesazhet elektronike që vijnë nga ARM KBR-N, i dërgohen në dosjen 
SHAREIn, ndërsa ato që dërgohen në ARM KBR-N dhe më pas në sistemin e pagesave të Bankës së Rusisë, shkojnë në 
SHAREout.
Po ashtu le tĂ« supozojmĂ« se, gjatĂ« realizimit tĂ« modulit tĂ« integrimit, listat e certifikatave tĂ« tĂ«rhequra pĂ«rditĂ«sohen vetĂ«m me riemĂ«rimin e çelĂ«save kriptografikĂ«, si dhe qĂ« mesazhet elektronike qĂ« kanĂ« arritur nĂ« dosjen 
SHAREIn kontrollohen vetĂ«m pĂ«r qĂ«llime tĂ« kontrollit tĂ« integritetit dhe kontrollet e besueshmĂ«risĂ« ndaj çelĂ«sit publik tĂ« nĂ«nshkrimit elektronik.

Sulmi

Hajdutët, duke shfrytëzuar çelësat e vjedhur në skenarin e mëparshëm, nënshkruan një urdhërpagesë të falsifikuar, që përmban informacione për pranimin e parave në llogarinë e klientit-mashtrues dhe e futën atë në kanal për shkëmbimin e të dhënave të sigurt. Pasiqë kontrolli për të siguruar që urdhërpagesa është nënshkruar pikërisht nga Banka e Rusisë nuk kryhet, ajo pranohet për ekzekutim.

Burimi: habr.com

Bleni hostim tĂ« besueshĂ«m pĂ«r faqe me mbrojtje nga DDoS, serverĂ« VPS VDS đŸ”„ Bleni hostim tĂ« besueshĂ«m pĂ«r faqe me mbrojtje nga DDoS, serverĂ« VPS VDS | ProHoster