Информациона безбедност банкарског безготовинског плаћања. Део 8 – Типични модели претњи

О чему је студија?

Везе ка другим деловима студије

• Информациона безбедност банкарског безготовинског плаћања. Део 1 - Економске основе.
• Информациона безбедност банкарског безготовинског плаћања. Део 2 – Типична банкарска ИТ инфраструктура.
• Информациона безбедност банкарског безготовинског плаћања. Део 3 – Формирање захтева за систем заштите.
• Информациона безбедност банкарског безготовинског плаћања. Део 4 – Преглед стандарда за моделирање претњи.
• Информациона безбедност банкарског безготовинског плаћања. Део 5 - 100+ тематских линкова о хаковању банака.
• Информациона безбедност банкарског безготовинског плаћања. Део 6 – Анализа банкарских кривичних дела.
• Информациона безбедност банкарског безготовинског плаћања. Део 7 – Основни модел претње.
• Информациона безбедност банкарског безготовинског плаћања. Део 8 – Типични модели претњи (јеси ли овде)

Овај чланак употпуњује серију публикација посвећених обезбеђивању информационе безбедности безготовинског плаћања банака. Овде ћемо погледати типичне моделе претњи о којима се говори у основни модел:

• Типичан модел претње. Мрежна конекција.
• Типичан модел претње. Информациони систем изграђен на архитектури клијент-сервер.
• Типичан модел претње. Систем контроле приступа.
• Типичан модел претње. Интеграциони модул.
• Типичан модел претње. Криптографски систем заштите информација.

ХАБРО-УПОЗОРЕЊЕ!!! Драги Хабровци, ово није забаван пост.
40+ страница материјала скривених под резом намењено је помоћ у раду или учењу људи специјализовани за банкарство или безбедност информација. Ови материјали су коначни производ истраживања и писани су сувим, формалним тоном. У суштини, ово су празнине за интерне документе о безбедности информација.

Па, традиционално - „коришћење информација из чланка у незаконите сврхе је кажњиво по закону“. Продуктивно читање!

Информације за читаоце који се упознају са студијом почевши од ове публикације.

О чему је студија?

Читате водич за специјалисте одговорног за осигурање информационе сигурности плаћања у банци.

Логика презентације

На почетку у Део 1 и Део 2 дат је опис заштићеног објекта. Затим у Део 3 описује како изградити систем безбедности и говори о потреби креирања модела претње. ИН Део 4 говори о томе који модели претњи постоје и како се формирају. ИН Део 5 и Део 6 Пружа се анализа стварних напада. Часть КСНУМКС и Део КСНУМКС садрже опис модела претње, изграђен узимајући у обзир информације из свих претходних делова.

ТИПИЧНИ МОДЕЛ ПРЕТЊЕ. МРЕЖНА КОНЕКЦИЈА

Објекат заштите за који се примењује модел претње (опсег).

Предмет заштите су подаци који се преносе путем мрежне везе која ради у мрежама за пренос података изграђеним на бази стека TCP/IP.

архитектура

Опис архитектонских елемената:

• "Крајњи чворови" — чворови који размењују заштићене информације.
• "Међучворови" — елементи мреже за пренос података: рутери, свичеви, приступни сервери, прокси сервери и друга опрема — преко које се преноси саобраћај мрежне везе. Генерално, мрежна веза може да функционише без међучворова (директно између крајњих чворова).

Безбедносне претње највишег нивоа

Декомпозиција

У1. Неовлашћен приступ пренетим подацима.
У2. Неовлашћена модификација пренетих података.
У3. Повреда ауторства пренетих података.

У1. Неовлашћен приступ пренетим подацима

Декомпозиција
У1.1. <…>, изведено на крајњим или средњим чворовима:
У1.1.1. <…> читањем података док су у хост уређајима за складиштење:
У1.1.1.1. <…> у РАМ-у.
Објашњења за У1.1.1.1.
На пример, током обраде података од стране мрежног стека домаћина.

У1.1.1.2. <…> у непроменљивој меморији.
Објашњења за У1.1.1.2.
На пример, када складиштите пренете податке у кеш меморију, привремене датотеке или датотеке за замену.

У1.2. <…>, спроведено на чворовима треће стране мреже података:
У1.2.1. <…> методом хватања свих пакета који стигну на мрежни интерфејс хоста:
Објашњења за У1.2.1.
Хватање свих пакета се врши пребацивањем мрежне картице у промискуитетни режим (промискуитетни режим за жичане адаптере или режим монитора за ви-фи адаптере).

У1.2.2. <…> извођењем напада човека у средини (МиТМ), али без модификације пренетих података (не рачунајући податке услуге мрежног протокола).
У1.2.2.1. Линк: „Типичан модел претње. Мрежна конекција. У2. Неовлашћена модификација пренетих података".

У1.3. <…>, извршено услед цурења информација кроз техничке канале (ТКУИ) са физичких чворова или комуникационих линија.

У1.4. <…>, који се спроводи уградњом специјалних техничких средстава (СТС) на крајње или међучворове, намењених за тајно прикупљање информација.

У2. Неовлашћена модификација пренетих података

Декомпозиција
У2.1. <…>, изведено на крајњим или средњим чворовима:
У2.1.1. <…> читањем и изменама података док се налазе у уређајима за складиштење чворова:
У2.1.1.1. <…> у РАМ-у:
У2.1.1.2. <…> у непроменљивој меморији:

У2.2. <…>, спроведено на чворовима треће стране мреже за пренос података:
У2.2.1. <…> извођењем напада човека у средини (МиТМ) и преусмеравањем саобраћаја на чвор нападача:
У2.2.1.1. Физичка веза опреме нападача доводи до прекида мрежне везе.
У2.2.1.2. Извођење напада на мрежне протоколе:
У2.2.1.2.1. <…> управљање виртуелним локалним мрежама (ВЛАН):
У2.2.1.2.1.1. ВЛАН скакање.
У2.2.1.2.1.2. Неовлашћена измена подешавања ВЛАН-а на прекидачима или рутерима.
У2.2.1.2.2. <…> рутирање саобраћаја:
У2.2.1.2.2.1. Неовлашћена модификација статичких табела рутера рутера.
У2.2.1.2.2.2. Најава лажних рута од стране нападача кроз динамичке протоколе рутирања.
У2.2.1.2.3. <…> аутоматска конфигурација:
У2.2.1.2.3.1. Рогуе ДХЦП.
У2.2.1.2.3.2. Рогуе ВПАД.
У2.2.1.2.4. <…> адресирање и разрешење имена:
У2.2.1.2.4.1. АРП лажирање.
У2.2.1.2.4.2. ДНС споофинг.
У2.2.1.2.4.3. Прављење неовлашћених промена у локалним датотекама имена хоста (хостови, лмхостови, итд.)

У3. Повреда ауторских права пренетих података

Декомпозиција
У3.1. Неутрализација механизама за утврђивање ауторства информације навођењем лажних података о аутору или извору података:
У3.1.1. Промена информација о аутору садржаних у пренетим информацијама.
У3.1.1.1. Неутрализација криптографске заштите интегритета и ауторства пренетих података:
У3.1.1.1.1. Линк: „Типичан модел претње. Криптографски систем заштите информација.
У4. Израда електронског потписа легитимног потписника под лажним подацима“.
У3.1.1.2. Неутрализација заштите ауторских права пренетих података, спроведена коришћењем једнократних кодова за потврду:
У3.1.1.2.1. Замјена СИМ-ом.

У3.1.2. Промена информација о извору пренетих информација:
У3.1.2.1. ИП лажирање.
У3.1.2.2. МАЦ лажирање.

ТИПИЧНИ МОДЕЛ ПРЕТЊЕ. ИНФОРМАЦИОНИ СИСТЕМ ИЗГРАЂЕН НА БАЗИ КЛИЈЕНТ-СЕРВЕР АРХИТЕКТУРЕ

Објекат заштите за који се примењује модел претње (опсег).

Објекат заштите је информациони систем изграђен на бази клијент-сервер архитектуре.

архитектура


Опис архитектонских елемената:

• "клијент" – уређај на коме ради клијентски део информационог система.
• "Сервер" – уређај на коме ради серверски део информационог система.
• "Складиште података" — део серверске инфраструктуре информационог система, дизајниран за складиштење података које обрађује информациони систем.
• "Мрежна конекција" — канал за размену информација између Клијента и Сервера који пролази кроз мрежу података. Детаљнији опис модела елемената је дат у „Типичан модел претње. Мрежна конекција".

Ограничења
Приликом моделирања објекта постављају се следећа ограничења:

1. Корисник ступа у интеракцију са информационим системом у ограниченим временским периодима, који се називају радне сесије.
2. На почетку сваке радне сесије корисник се идентификује, аутентификује и ауторизује.
3. Све заштићене информације се чувају на серверском делу информационог система.

Безбедносне претње највишег нивоа

Декомпозиција
У1. Извођење неовлашћених радњи од стране нападача у име легитимног корисника.
У2. Неовлашћена модификација заштићених информација током њихове обраде од стране серверског дела информационог система.

У1. Извођење неовлашћених радњи од стране нападача у име легитимног корисника

Објашњења
Обично у информационим системима радње су повезане са корисником који их је извршио користећи:

1. евиденције рада система (логови).
2. посебне атрибуте објеката података који садрже информације о кориснику који их је креирао или модификовао.

У односу на радну сесију, ова претња се може декомпоновати на:

1. <…> извршено у оквиру корисничке сесије.
2. <…> се извршава ван корисничке сесије.

Корисничка сесија се може покренути:

1. Од самог корисника.
2. Малефацторс.

У овој фази, средња декомпозиција ове претње ће изгледати овако:
У1.1. Неовлашћене радње су извршене у оквиру корисничке сесије:
У1.1.1. <…> инсталирао нападнути корисник.
У1.1.2. <…> инсталирали су нападачи.
У1.2. Неовлашћене радње су извршене ван корисничке сесије.

Са становишта објеката информационе инфраструктуре на које нападачи могу да утичу, декомпозиција међупретњи ће изгледати овако:

елементи
Тхреат Децомпоситион

У1.1.1.
У1.1.2.
У1.2.

Цустомер
У1.1.1.1.
У1.1.2.1.

Мрежна конекција
У1.1.1.2.

Сервер

У1.2.1.

Декомпозиција
У1.1. Неовлашћене радње су извршене у оквиру корисничке сесије:
У1.1.1. <…> инсталирао нападнути корисник:
У1.1.1.1. Нападачи су деловали независно од Клијента:
У1.1.1.1.1 Нападачи су користили стандардне алате за приступ информационом систему:
У1.1.1.1.1.1. Нападачи су користили физичка средства за унос/излаз Клијента (тастатура, миш, монитор или екран осетљив на додир мобилног уређаја):
У1.1.1.1.1.1.1. Нападачи су деловали током периода када је сесија била активна, И/О објекти су били доступни, а корисник није био присутан.
У1.1.1.1.1.2. Нападачи су користили алате за даљинску администрацију (стандардне или обезбеђене злонамерним кодом) да контролишу клијента:
У1.1.1.1.1.2.1. Нападачи су деловали током периода када је сесија била активна, И/О објекти су били доступни, а корисник није био присутан.
У1.1.1.1.1.2.2. Нападачи су користили алате за даљинску администрацију, чији је рад невидљив за нападнутог корисника.
У1.1.1.2. Нападачи су заменили податке у мрежној вези између Клијента и Сервера, модификујући их на начин да се перципирају као радње легитимног корисника:
У1.1.1.2.1. Линк: „Типичан модел претње. Мрежна конекција. У2. Неовлашћена модификација пренетих података".
У1.1.1.3. Нападачи су натерали корисника да изврши радње које су одредили користећи методе друштвеног инжењеринга.

У1.1.2 <…> инсталирали су нападачи:
У1.1.2.1. Нападачи су деловали од стране Клијента (И):
У1.1.2.1.1. Нападачи су неутралисали систем контроле приступа информационом систему:
У1.1.2.1.1.1. Линк: „Типичан модел претње. Систем контроле приступа. У1. Неовлашћено успостављање сесије у име легитимног корисника".
У1.1.2.1.2. Нападачи су користили стандардне алате за приступ информационом систему
У1.1.2.2. Нападачи су радили са других чворова мреже за пренос података, из којих се могла успоставити мрежна веза са сервером (И):
У1.1.2.2.1. Нападачи су неутралисали систем контроле приступа информационом систему:
У1.1.2.2.1.1. Линк: „Типичан модел претње. Систем контроле приступа. У1. Неовлашћено успостављање сесије у име легитимног корисника".
У1.1.2.2.2. Нападачи су користили нестандардна средства за приступ информационом систему.
Објашњења У1.1.2.2.2.
Нападачи могу да инсталирају стандардни клијент информационог система на чвор треће стране или да користе нестандардни софтвер који имплементира стандардне протоколе размене између клијента и сервера.

У1.2 Неовлашћене радње су извршене ван корисничке сесије.
У1.2.1 Нападачи су извршили неовлашћене радње, а затим извршили неовлашћене промене у евиденцији рада информационог система или посебним атрибутима објеката података, што указује да је радње које су извршили извршио легитимни корисник.

У2. Неовлашћена модификација заштићених информација током њихове обраде од стране серверског дела информационог система

Декомпозиција
У2.1. Нападачи модификују заштићене информације користећи стандардне алате информационог система и то раде у име легитимног корисника.
У2.1.1. Линк: „Типичан модел претње. Информациони систем изграђен на архитектури клијент-сервер. У1. Извођење неовлашћених радњи од стране нападача у име легитимног корисника".

У2.2. Нападачи модификују заштићене информације користећи механизме приступа подацима који нису предвиђени нормалним радом информационог система.
У2.2.1. Нападачи мењају датотеке које садрже заштићене информације:
У2.2.1.1. <…>, користећи механизме за руковање датотекама које обезбеђује оперативни систем.
У2.2.1.2. <…> изазивањем обнављања датотека из неовлашћене модификоване резервне копије.

У2.2.2. Нападачи мењају заштићене информације ускладиштене у бази података (И):
У2.2.2.1. Нападачи неутралишу систем контроле приступа ДБМС:
У2.2.2.1.1. Линк: „Типичан модел претње. Систем контроле приступа. У1. Неовлашћено успостављање сесије у име легитимног корисника".
У2.2.2.2. Нападачи мењају информације користећи стандардне ДБМС интерфејсе за приступ подацима.

У2.3. Нападачи модификују заштићене информације неовлашћеном модификацијом алгоритама рада софтвера који их обрађује.
У2.3.1. Изворни код софтвера је подложан изменама.
У2.3.1. Машински код софтвера је подложан изменама.

У2.4. Нападачи модификују заштићене информације искоришћавањем рањивости у софтверу информационог система.

У2.5. Нападачи модификују заштићене информације када се преносе између компоненти серверског дела информационог система (на пример, сервер базе података и сервер апликација):
У2.5.1. Линк: „Типичан модел претње. Мрежна конекција. У2. Неовлашћена модификација пренетих података".

ТИПИЧНИ МОДЕЛ ПРЕТЊЕ. СИСТЕМ КОНТРОЛЕ ПРИСТУПА

Објекат заштите за који се примењује модел претње (опсег).

Објекат заштите за који се примењује овај модел претње одговара објекту заштите модела претње: „Типични модел претње. Информациони систем изграђен на архитектури клијент-сервер.”

У овом моделу претње, систем контроле приступа корисника означава компоненту информационог система која имплементира следеће функције:

1. Идентификација корисника.
2. Идентификација корисника.
3. Овлашћења корисника.
4. Евидентирање радњи корисника.

Безбедносне претње највишег нивоа

Декомпозиција
У1. Неовлашћено успостављање сесије у име легитимног корисника.
У2. Неовлашћено повећање привилегија корисника у информационом систему.

У1. Неовлашћено успостављање сесије у име легитимног корисника

Објашњења
Декомпозиција ове претње ће генерално зависити од типа система идентификације корисника и аутентификације који се користи.

У овом моделу ће се узети у обзир само систем идентификације и аутентификације корисника који користи текстуалну пријаву и лозинку. У овом случају, претпоставићемо да је пријава корисника јавно доступна информација позната нападачима.

Декомпозиција
У1.1. <…> због компромитовања акредитива:
У1.1.1. Нападачи су компромитовали корисничке акредитиве док су их чували.
Објашњења У1.1.1.
На пример, акредитиви могу бити написани на лепљивој белешци залепљеној за монитор.

У1.1.2. Корисник је случајно или злонамерно проследио податке о приступу нападачима.
У1.1.2.1. Корисник је изговорио акредитиве наглас док је улазио.
У1.1.2.2. Корисник је намерно поделио своје акредитиве:
У1.1.2.2.1. <…> колегама са посла.
Објашњења У1.1.2.2.1.
На пример, да могу да га замене током болести.

У1.1.2.2.2. <…> извођачима радова послодавца који изводе радове на објектима информационе инфраструктуре.
У1.1.2.2.3. <…> трећим лицима.
Објашњења У1.1.2.2.3.
Једна, али не и једина опција за имплементацију ове претње је употреба метода друштвеног инжењеринга од стране нападача.

У1.1.3. Нападачи су одабрали акредитиве користећи методе грубе силе:
У1.1.3.1. <…> користећи стандардне механизме приступа.
У1.1.3.2. <…> коришћењем претходно пресретнутих кодова (на пример, хешева лозинки) за чување акредитива.

У1.1.4. Нападачи су користили злонамерни код да пресретну корисничке акредитиве.

У1.1.5. Нападачи су извукли акредитиве из мрежне везе између клијента и сервера:
У1.1.5.1. Линк: „Типичан модел претње. Мрежна конекција. У1. Неовлашћени приступ пренетим подацима".

У1.1.6. Нападачи су извукли акредитиве из евиденције система за праћење рада:
У1.1.6.1. <…> системи видео надзора (ако су у току рада снимљени ударци тастера на тастатури).
У1.1.6.2. <…> системи за праћење радњи запослених на рачунару
Објашњења У1.1.6.2.
Пример таквог система је СтуффЦоп.

У1.1.7. Нападачи су угрозили корисничке акредитиве због недостатака у процесу преноса.
Објашњења У1.1.7.
На пример, слање лозинки у чистом тексту путем е-поште.

У1.1.8. Нападачи су добили акредитиве праћењем сесије корисника користећи системе удаљене администрације.

У1.1.9. Нападачи су добили акредитиве као резултат њиховог цурења путем техничких канала (ТЦУИ):
У1.1.9.1. Нападачи су приметили како је корисник унео акредитиве са тастатуре:
У1.1.9.1.1 Нападачи су се налазили у непосредној близини корисника и својим очима су видели унос акредитива.
Објашњења У1.1.9.1.1
Такви случајеви укључују радње колега на послу или случај када је тастатура корисника видљива посетиоцима организације.

У1.1.9.1.2 Нападачи су користили додатна техничка средства, као што су двоглед или беспилотна летелица, и видели уношење акредитива кроз прозор.
У1.1.9.2. Нападачи су извукли акредитиве из радио комуникације између тастатуре и системске јединице рачунара када су били повезани преко радио интерфејса (на пример, Блуетоотх).
У1.1.9.3. Нападачи су пресрели акредитиве тако што су их пропуштали кроз канал лажног електромагнетног зрачења и сметњи (ПЕМИН).
Објашњења У1.1.9.3.
Примери напада овде и овде.

У1.1.9.4. Нападач је пресрео унос акредитива са тастатуре коришћењем специјалних техничких средстава (СТС) дизајнираних за тајно добијање информација.
Објашњења У1.1.9.4.
Примери уређаји.

У1.1.9.5. Нападачи су пресрели унос акредитива са тастатуре користећи
анализа Ви-Фи сигнала модулисаног процесом притискања тастера корисника.
Објашњења У1.1.9.5.
Пример напада.

У1.1.9.6. Нападачи су пресрели унос акредитива са тастатуре анализирајући звуке притисака на тастере.
Објашњења У1.1.9.6.
Пример напада.

У1.1.9.7. Нападачи су пресрели унос акредитива са тастатуре мобилног уређаја анализом очитавања акцелерометра.
Објашњења У1.1.9.7.
Пример напада.

У1.1.10. <…>, претходно сачувана на Клијенту.
Објашњења У1.1.10.
На пример, корисник може да сачува податке за пријаву и лозинку у прегледачу да би приступио одређеном сајту.

У1.1.11. Нападачи су угрозили акредитиве због недостатака у процесу опозива приступа кориснику.
Објашњења У1.1.11.
На пример, након што је корисник отпуштен, његови налози су остали деблокирани.

У1.2. <…> искоришћавањем рањивости у систему контроле приступа.

У2. Неовлашћено подизање привилегија корисника у информационом систему

Декомпозиција
У2.1 <…> неовлашћеним изменама података који садрже информације о привилегијама корисника.

У2.2 <…> коришћењем рањивости у систему контроле приступа.

У2.3. <…> због недостатака у процесу управљања приступом корисника.
Објашњења У2.3.
Пример 1. Кориснику је дат већи приступ за рад него што му је потребно из пословних разлога.
Пример 2: Након што је корисник премештен на другу позицију, претходно дата права приступа нису опозвана.

ТИПИЧНИ МОДЕЛ ПРЕТЊЕ. ИНТЕГРАЦИЈСКИ МОДУЛ

Објекат заштите за који се примењује модел претње (опсег).

Интеграциони модул је скуп објеката информационе инфраструктуре дизајнираних да организују размену информација између информационих система.

С обзиром на то да у корпоративним мрежама није увек могуће једнозначно одвојити један информациони систем од другог, интеграциони модул се може сматрати и везном кариком између компоненти унутар једног информационог система.

архитектура
Генерализовани дијаграм интеграционог модула изгледа овако:

Опис архитектонских елемената:

• „Екцханге Сервер (СО)“ – чвор / услуга / компонента информационог система који врши функцију размене података са другим информационим системом.
• "посредник" – чвор/услуга дизајниран да организује интеракцију између информационих система, али није део њих.
  Примери "посредници" могу постојати услуге е-поште, услужне магистрале предузећа (услужна магистрала предузећа / СоА архитектура), сервери датотека треће стране итд. У принципу, модул интеграције не сме да садржи „Посреднике“.
• "Софтвер за обраду података" – скуп програма који имплементирају протоколе за размену података и конверзију формата.
  На пример, претварање података из УФЕБС формата у АБС формат, промена статуса порука током преноса итд.
• "Мрежна конекција" одговара објекту описаном у стандардном моделу претње „мрежна веза“. Неке од мрежних веза приказаних на дијаграму изнад можда не постоје.

Примери интеграционих модула

Шема 1. Интеграција АБС и АВС КБР преко сервера датотека треће стране

За извршење плаћања, овлашћени службеник банке преузима документе о електронском плаћању из основног банкарског система и чува их у датотеку (у сопственом формату, на пример СКЛ думп) у мрежној фасцикли (...СХАРЕ) на серверу датотека. Затим се ова датотека конвертује помоћу скрипте за претварање у скуп датотека у УФЕБС формату, које затим чита ЦБД радна станица.
Након тога, овлашћени радник - корисник аутоматизованог радног места КБР - шифрује и потписује примљене датотеке и шаље их платном систему Банке Русије.

Када се уплате примају од Банке Русије, аутоматизовано радно место КБР их дешифрује и проверава електронски потпис, након чега их евидентира у облику скупа датотека у формату УФЕБС на серверу датотека. Пре увоза платних докумената у АБС, они се конвертују помоћу скрипте за претварање из УФЕБС формата у АБС формат.

Претпоставићемо да у овој шеми АБС ради на једном физичком серверу, КБР радна станица ради на наменском рачунару, а скрипта претварача ради на серверу датотека.

Кореспонденција објеката разматраног дијаграма са елементима модела интеграционог модула:
„Сервер за размену са АБС стране“ – АБС сервер.
„Сервер за размену са стране АВС КБР“ – рачунарска радна станица КБР.
"посредник" – сервер датотека треће стране.
"Софтвер за обраду података" – претварач скрипти.

Шема 2. Интеграција АБС и АВС КБР приликом постављања дељеног мрежног фолдера са уплатама на АВС КБР

Све је слично шеми 1, али се уместо тога не користи посебан фајл сервер, већ се на рачунар са радном станицом ЦБД поставља мрежна фасцикла (...СХАРЕ) са електронским платним документима. Скрипта претварача такође ради на ЦБД радној станици.

Кореспонденција објеката разматраног дијаграма са елементима модела интеграционог модула:
Слично шеми 1, али "посредник" не користи.

Шема 3. Интеграција АБС-а и аутоматизованог радног места КБР-Н преко ИБМ ВебСпхера МК и потписивање електронских докумената „на АБС страни“

АБС ради на платформи коју ЦИПФ СЦАД Сигнатуре не подржава. Потписивање одлазних електронских докумената врши се на посебном серверу за електронски потпис (ЕС Сервер). Исти сервер проверава електронски потпис на документима који долазе из Банке Русије.

АБС учитава датотеку са документима за плаћање у сопственом формату на ЕС сервер.
ЕС сервер, користећи скрипту за претварање, конвертује датотеку у електронске поруке у УФЕБС формату, након чега се електронске поруке потписују и преносе у ИБМ ВебСпхере МК.

КБР-Н радна станица приступа ИБМ ВебСпхере МК и одатле прима потписане платне поруке, након чега их овлашћени запослени – корисник КБР радне станице – шифрује и шаље у платни систем Банке Русије.

Када се уплате примају од Банке Русије, аутоматизовано радно место КБР-Н их дешифрује и проверава електронски потпис. Успешно обрађена плаћања у виду дешифрованих и потписаних електронских порука у УФЕБС формату се преносе у ИБМ ВебСпхере МК, одакле их прима Сервер за електронски потпис.

Сервер за електронски потпис проверава електронски потпис примљених уплата и чува их у фајлу у АБС формату. Након тога, овлашћени радник - корисник АБС-а - учитава добијену датотеку у АБС на прописан начин.

Кореспонденција објеката разматраног дијаграма са елементима модела интеграционог модула:
„Сервер за размену са АБС стране“ – АБС сервер.
„Сервер за размену са стране АВС КБР“ — рачунарска радна станица КБР.
"посредник" – ЕС сервер и ИБМ ВебСпхере МК.
"Софтвер за обраду података" – скрипт конвертор, ЦИПФ СЦАД потпис на ЕС серверу.

Шема 4. Интеграција РБС сервера и основног банкарског система преко АПИ-ја обезбеђеног од наменског сервера за размену

Претпоставићемо да банка користи неколико система даљинског банкарства (РБС):

• „Интернет клијент-банка“ за физичка лица (ИКБ ФЛ);
• „Интернет клијент-банка“ за правна лица (ИКБ ЛЕ).

У циљу обезбеђивања информационе безбедности, сва интеракција између АБС и система даљинског банкарства одвија се преко наменског сервера размене који ради у оквиру АБС информационог система.

Затим ћемо размотрити процес интеракције између РБС система ИКБ ЛЕ и АБС-а.
РБС сервер, након што је од клијента примио уредно оверен налог за плаћање, мора на основу њега да креира одговарајући документ у АБС-у. Да би то урадио, користећи АПИ, он преноси информације на сервер за размену, који заузврат уноси податке у АБС.

Када се стање на рачуну клијента промени, АБС генерише електронска обавештења, која се преносе на сервер за удаљено банкарство помоћу сервера размене.

Кореспонденција објеката разматраног дијаграма са елементима модела интеграционог модула:
„Сервер за размену са РБС стране“ – РБС сервер ИКБ ИУЛ.
„Сервер за размену са АБС стране“ – сервер за размену.
"посредник" - недостаје.
"Софтвер за обраду података" – Компоненте РБС сервера одговорне за коришћење АПИ сервера размене, компоненте сервера за размену одговорне за коришћење основног банкарског АПИ-ја.

Безбедносне претње највишег нивоа

Декомпозиција
У1. Убацивање лажних информација од стране нападача преко интеграционог модула.

У1. Убацивање лажних информација од стране нападача преко интеграционог модула

Декомпозиција
У1.1. Неовлашћена модификација легитимних података када се преносе преко мрежних веза:
У1.1.1 Линк: „Типичан модел претње. Мрежна конекција. У2. Неовлашћена модификација пренетих података".

У1.2. Пренос лажних података путем комуникационих канала у име легитимног учесника у размени:
У1.1.2 Линк: „Типичан модел претње. Мрежна конекција. У3. Кршење ауторских права пренетих података".

У1.3. Неовлашћена измена легитимних података током њихове обраде на Екцханге серверима или посреднику:
У1.3.1. Линк: „Типичан модел претње. Информациони систем изграђен на архитектури клијент-сервер. У2. Неовлашћена измена заштићених информација током њихове обраде од стране серверског дела информационог система“.

У1.4. Креирање лажних података на Екцханге серверима или посреднику у име легитимног учесника у размени:
У1.4.1. Линк: „Типичан модел претње. Информациони систем изграђен на архитектури клијент-сервер. У1. Извођење неовлашћених радњи од стране нападача у име легитимног корисника.”

У1.5. Неовлашћена модификација података када се обрађују коришћењем софтвера за обраду података:
У1.5.1. <…> због нападача који неовлашћено мењају подешавања (конфигурацију) софтвера за обраду података.
У1.5.2. <…> због нападача који неовлашћено мењају извршне датотеке софтвера за обраду података.
У1.5.3. <…> због интерактивне контроле софтвера за обраду података од стране нападача.

ТИПИЧНИ МОДЕЛ ПРЕТЊЕ. СИСТЕМ ЗАШТИТЕ КРИПТОГРАФСКИХ ИНФОРМАЦИЈА

Објекат заштите за који се примењује модел претње (опсег).

Предмет заштите је криптографски систем заштите информација који се користи за обезбеђење безбедности информационог система.

архитектура
Основа сваког информационог система је апликативни софтвер који имплементира његову циљну функционалност.

Криптографска заштита се обично спроводи позивањем криптографских примитива из пословне логике апликативног софтвера, који се налазе у специјализованим библиотекама – крипто језгрима.

Криптографски примитиви укључују криптографске функције ниског нивоа, као што су:

• шифровање/дешифровање блока података;
• креирати/верификовати електронски потпис блока података;
• израчунати хеш функцију блока података;
• генерисање / учитавање / отпремање кључних информација;
• итд

Пословна логика апликативног софтвера имплементира функционалност вишег нивоа користећи криптографске примитиве:

• шифрујте датотеку помоћу кључева изабраних прималаца;
• успоставите сигурну мрежну везу;
• обавести о резултатима провере електронског потписа;
• и тако даље.

Интеракција пословне логике и крипто језгра може се извршити:

• директно, позивањем криптографских примитива из динамичких библиотека крипто језгра (.DLL) од стране пословне логике Windows, .SO – за Linux);
• директно, преко криптографских интерфејса – омотача, на пример, МС Црипто АПИ, Јава Цриптограпхи Арцхитецтуре, ПКЦС#11, итд. У овом случају, пословна логика приступа крипто интерфејсу, а он преводи позив у одговарајуће крипто језгро, које у овај случај се зове крипто провајдер. Употреба криптографских интерфејса омогућава апликацијском софтверу да се апстрахује од специфичних криптографских алгоритама и буде флексибилнији.

Постоје две типичне шеме за организовање крипто језгра:

Шема 1 – Монолитно крипто језгро


Шема 2 – Подела крипто језгра


Елементи у горњим дијаграмима могу бити или појединачни софтверски модули који раде на једном рачунару или мрежни сервиси који комуницирају унутар рачунарске мреже.

Када се користе системи изграђени према шеми 1, апликативни софтвер и крипто језгро раде у оквиру једног оперативног окружења за крипто алат (СФЦ), на пример, на истом рачунару, под истим оперативним системом. Корисник система, по правилу, може да покреће друге програме, укључујући и оне који садрже злонамерни код, у оквиру истог оперативног окружења. У таквим условима постоји озбиљан ризик од цурења приватних криптографских кључева.

Да би се ризик минимизирао, користи се шема 2, у којој је крипто језгро подељено на два дела:

1. Први део, заједно са апликативним софтвером, функционише у непоузданом окружењу где постоји ризик од заразе злонамерним кодом. Овај део ћемо назвати „софтверским делом“.
2. Други део ради у поузданом окружењу на наменском уређају, који садржи складиште приватног кључа. Од сада ћемо овај део звати „хардвер“.

Подела крипто језгра на софтверске и хардверске делове је веома произвољна. На тржишту постоје системи изграђени према шеми са подељеним крипто језгром, али чији је „хардверски“ део представљен у облику слике виртуелне машине - виртуелни ХСМ (пример).

Интеракција оба дела крипто језгра се дешава на начин да се приватни криптографски кључеви никада не преносе у софтверски део и, сходно томе, не могу бити украдени коришћењем злонамерног кода.

Интерфејс за интеракцију (АПИ) и скуп криптографских примитива које крипто језгро даје апликативном софтверу су исти у оба случаја. Разлика је у начину на који се спроводе.

Дакле, када се користи шема са подељеним крипто језгром, интеракција софтвера и хардвера се врши по следећем принципу:

1. Криптографске примитиве који не захтевају употребу приватног кључа (на пример, израчунавање хеш функције, провера електронског потписа, итд.) обавља софтвер.
2. Криптографске примитиве који користе приватни кључ (креирање електронског потписа, дешифровање података, итд.) изводи се хардверски.

Илуструјмо рад подељеног крипто језгра на примеру креирања електронског потписа:

1. Софтверски део израчунава хеш функцију потписаних података и ову вредност преноси на хардвер преко канала размене између крипто језгара.
2. Хардверски део, користећи приватни кључ и хеш, генерише вредност електронског потписа и преноси је софтверском делу путем канала размене.
3. Софтверски део враћа примљену вредност апликативном софтверу.

Особине провере исправности електронског потписа

Када прималац прими електронски потписане податке, мора извршити неколико корака верификације. Позитиван резултат провере електронског потписа постиже се само ако су све фазе верификације успешно завршене.

Фаза 1. Контрола интегритета података и ауторства података.

Садржај бине. Електронски потпис података се проверава коришћењем одговарајућег криптографског алгоритма. Успешан завршетак ове фазе указује да подаци нису мењани од тренутка када су потписани, као и да је потпис направљен приватним кључем који одговара јавном кључу за проверу електронског потписа.
Локација бине: крипто језгро.

Фаза 2. Контрола поверења у јавни кључ потписника и контрола рока важења приватног кључа електронског потписа.
Садржај бине. Фаза се састоји од две међуфазе. Први је да се утврди да ли је јавном кључу за проверу електронског потписа било поверења у време потписивања података. Други одређује да ли је приватни кључ електронског потписа био важећи у тренутку потписивања података. Генерално, периоди важења ових кључева се можда не подударају (на пример, за квалификоване сертификате кључева за верификацију електронског потписа). Методе за успостављање поверења у јавни кључ потписника утврђују се правилима електронског управљања документима које су усвојиле стране у интеракцији.
Локација бине: апликативни софтвер / крипто језгро.

Фаза 3. Контрола овлашћења потписника.
Садржај бине. У складу са утврђеним правилима електронског управљања документима, проверава се да ли је потписник имао право да овери заштићене податке. Као пример наведимо ситуацију кршења овлашћења. Претпоставимо да постоји организација у којој сви запослени имају електронски потпис. Интерни систем електронског управљања документима прима налог од управника, али потписан електронским потписом управника складишта. Сходно томе, такав документ се не може сматрати легитимним.
Локација бине: апликациони софтвер.

Претпоставке изнете при опису објекта заштите

1. Канали за пренос информација, са изузетком канала за размену кључева, такође пролазе кроз апликативни софтвер, АПИ и крипто језгро.
2. Информације о поверењу у јавне кључеве и (или) сертификате, као и информације о овлашћењима власника јавних кључева, налазе се у складишту јавних кључева.
3. Апликациони софтвер ради са складиштем јавних кључева преко крипто кернела.

Пример информационог система заштићеног ЦИПФ-ом

Да бисмо илустровали претходно представљене дијаграме, размотримо хипотетички информациони систем и истакнемо све структурне елементе на њему.

Опис информационог система

Две организације су одлучиле да међусобно уведу правно значајно електронско управљање документима (ЕДФ). Да би то урадили, склопили су уговор којим су предвидели да се документи шаљу мејлом, а да притом морају бити шифровани и потписани квалификованим електронским потписом. Оффице програме из пакета Мицрософт Оффице 2016 треба користити као алате за креирање и обраду докумената, а ЦИПФ ЦриптоПРО и софтвер за шифровање ЦриптоАРМ као средства криптографске заштите.

Опис инфраструктуре организације 1

Организација 1 одлучила је да инсталира ЦИПФ ЦриптоПРО и ЦриптоАРМ софтвер на радну станицу корисника – физички рачунар. Кључеви за шифровање и електронски потпис биће ускладиштени на медијуму кључева руТокен, који ће радити у режиму кључа који се може преузети. Корисник ће припремити електронске документе локално на свом рачунару, затим их шифровати, потписати и послати помоћу локално инсталираног емаил клијента.

Опис инфраструктуре организације 2

Организација 2 одлучила је да премести функције шифровања и електронског потписа на наменску виртуелну машину. У овом случају, све криптографске операције ће се извршити аутоматски.

Да бисте то урадили, две мрежне фасцикле су организоване на наменској виртуелној машини: „...Ин”, „...Оут”. Датотеке примљене од друге уговорне стране у отвореном облику биће аутоматски смештене у мрежну фасциклу “…Ин”. Ове датотеке ће бити дешифроване и електронски потпис ће бити верификован.

Корисник ће поставити датотеке у фасциклу „...Оут“ које треба шифровати, потписати и послати другој страни. Корисник ће сам припремити датотеке на својој радној станици.
За обављање функција шифровања и електронског потписа, на виртуелној машини су инсталирани ЦИПФ ЦриптоПРО, ЦриптоАРМ софтвер и е-маил клијент. Аутоматско управљање свим елементима виртуелне машине ће се вршити помоћу скрипти које су развили администратори система. Рад скрипти се евидентира у лог фајловима.

Криптографски кључеви за електронски потпис биће смештени на токен са неповратним ЈаЦарта ГОСТ кључем, који ће корисник повезати са својим локалним рачунаром.

Токен ће бити прослеђен виртуелној машини помоћу специјализованог УСБ-овер-ИП софтвера инсталираног на радној станици корисника и на виртуелној машини.

Системски сат на радној станици корисника у организацији 1 биће подешен ручно. Системски сат наменске виртуелне машине у Организацији 2 биће синхронизован са сатом система хипервизора, који ће заузврат бити синхронизован преко Интернета са серверима јавног времена.

Идентификација структурних елемената ЦИПФ-а
На основу наведеног описа ИТ инфраструктуре, издвојићемо структурне елементе ЦИПФ-а и уписати их у табелу.

Табела – Кореспонденција елемената ЦИПФ модела са елементима информационог система

Назив производа
Организација 1
Организација 2

Апликациони софтвер
ЦриптоАРМ софтвер
ЦриптоАРМ софтвер

Софтверски део крипто језгра
ЦИПФ ЦриптоПРО ЦСП
ЦИПФ ЦриптоПРО ЦСП

Хардвер за крипто језгро
не
ЈаЦарта ГОСТ

АПИ за
МС ЦриптоАПИ
МС ЦриптоАПИ

Продавница јавних кључева
Корисничка радна станица:
- ХДД;
— стандардно складиштење сертификата Windows.
хипервизор:
- ХДД.

Виртуелна машина:
- ХДД;
— стандардно складиштење сертификата Windows.

Чување приватног кључа
Носилац кључа руТокен који ради у режиму кључа који се може преузети
ЈаЦарта ГОСТ носач кључа који ради у режиму неуклоњивог кључа

Канал за размену јавних кључева
Корисничка радна станица:
- РАМ.

хипервизор:
- РАМ.

Виртуелна машина:
- РАМ.

Канал за размену приватних кључева
Корисничка радна станица:
— УСБ магистрала;
- РАМ.
не

Канал размене између крипто језгара
недостаје (без хардвера крипто језгра)
Корисничка радна станица:
— УСБ магистрала;
- РАМ;
— УСБ-овер-ИП софтверски модул;
- мрежни интерфејс.

Корпоративна мрежа организације 2.

хипервизор:
- РАМ;
- мрежни интерфејс.

Виртуелна машина:
- мрежни интерфејс;
- РАМ;
— УСБ-овер-ИП софтверски модул.

Отворите канал података
Корисничка радна станица:
— улазно-излазна средства;
- РАМ;
- ХДД.
Корисничка радна станица:
— улазно-излазна средства;
- РАМ;
- ХДД;
- мрежни интерфејс.

Корпоративна мрежа организације 2.

хипервизор:
- мрежни интерфејс;
- РАМ;
- ХДД.

Виртуелна машина:
- мрежни интерфејс;
- РАМ;
- ХДД.

Сигуран канал за размену података
Интернет.

Корпоративна мрежа организације 1.

Корисничка радна станица:
- ХДД;
- РАМ;
- мрежни интерфејс.

Интернет.

Корпоративна мрежа организације 2.

хипервизор:
- мрежни интерфејс;
- РАМ;
- ХДД.

Виртуелна машина:
- мрежни интерфејс;
- РАМ;
- ХДД.

Временски канал
Корисничка радна станица:
— улазно-излазна средства;
- РАМ;
- системски тајмер.

Интернет.
Корпоративна мрежа организације 2,

хипервизор:
- мрежни интерфејс;
- РАМ;
- системски тајмер.

Виртуелна машина:
- РАМ;
- системски тајмер.

Канал за пренос контролне команде
Корисничка радна станица:
— улазно-излазна средства;
- РАМ.

(Графички кориснички интерфејс ЦриптоАРМ софтвера)

Виртуелна машина:
- РАМ;
- ХДД.

(Скрипте за аутоматизацију)

Канал за пријем резултата рада
Корисничка радна станица:
— улазно-излазна средства;
- РАМ.

(Графички кориснички интерфејс ЦриптоАРМ софтвера)

Виртуелна машина:
- РАМ;
- ХДД.

(Датотеке евиденције скрипти за аутоматизацију)

Безбедносне претње највишег нивоа

Објашњења

Претпоставке направљене приликом разлагања претњи:

1. Користе се јаки криптографски алгоритми.
2. Криптографски алгоритми се безбедно користе у исправним режимима рада (нпр. ЕЦБ се не користи за шифровање великих количина података, узима се у обзир дозвољено оптерећење кључа итд.).
3. Нападачи знају све алгоритме, протоколе и јавне кључеве који се користе.
4. Нападачи могу да прочитају све шифроване податке.
5. Нападачи су у стању да репродукују све софтверске елементе у систему.

Декомпозиција

У1. Компромитација приватних криптографских кључева.
У2. Шифровање лажних података у име легитимног пошиљаоца.
У3. Дешифровање шифрованих података од стране особа које нису легитимни примаоци података (нападачи).
У4. Израда електронског потписа легитимног потписника под лажним подацима.
У5. Добијање позитивног резултата провером електронског потписа фалсификованих података.
У6. Погрешан пријем електронских докумената на извршење због проблема у организовању електронског тока докумената.
У7. Неовлашћен приступ заштићеним подацима током њихове обраде од стране ЦИПФ-а.

У1. Компромитација приватних криптографских кључева

У1.1. Преузимање приватног кључа из складишта приватних кључева.

У1.2. Добијање приватног кључа од објеката у оперативном окружењу крипто-алатке, у којем он може привремено да се налази.
Објашњења У1.2.

Објекти који могу привремено да чувају приватни кључ би укључивали:

1. РАМ,
2. привремене датотеке,
3. замени фајлове,
4. датотеке за хибернацију,
5. датотеке снимака „врућег“ стања виртуелних машина, укључујући датотеке садржаја РАМ меморије паузираних виртуелних машина.

У1.2.1. Извлачење приватних кључева из радне РАМ-а замрзавањем РАМ модула, њиховим уклањањем и затим читањем података (напад замрзавања).
Објашњења У1.2.1.
Пример напада.

У1.3. Добијање приватног кључа са канала за размену приватних кључева.
Објашњења У1.3.
Биће дат пример спровођења ове претње доле.

У1.4. Неовлашћена модификација крипто језгра, услед чега приватни кључеви постају познати нападачима.

У1.5. Компромитација приватног кључа као резултат коришћења канала за цурење техничких информација (ТЦИЛ).
Објашњења У1.5.
Пример напада.

У1.6. Компромитација приватног кључа као резултат употребе специјалних техничких средстава (СТС) дизајнираних за тајно преузимање информација („багови“).

У1.7. Компромитација приватних кључева током њиховог складиштења ван ЦИПФ-а.
Објашњења У1.7.
На пример, корисник чува своје кључне медије у фиоци на радној површини, из које их нападачи лако могу преузети.

У2. Шифровање лажних података у име легитимног пошиљаоца

Објашњења
Ова претња се разматра само за шеме шифровања података са аутентификацијом пошиљаоца. Примери таквих шема су наведени у препорукама за стандардизацију Р 1323565.1.004-2017 „Информационе технологије. Заштита криптографских информација. Шеме за генерисање јавног кључа са аутентификацијом на основу јавног кључа". За друге криптографске шеме ова претња не постоји, пошто се шифровање врши на јавним кључевима примаоца и они су генерално познати нападачима.

Декомпозиција
У2.1. Компромитовање приватног кључа пошиљаоца:
У2.1.1. Линк: „Типичан модел претње. Систем заштите криптографских информација.У1. Компромитација приватних криптографских кључева".

У2.2. Замена улазних података у отвореном каналу размене података.
Напомене У2.2.
Примери имплементације ове претње су дати у наставку. овде и овде.

У3. Дешифровање шифрованих података од стране особа које нису легитимни примаоци података (нападачи)

Декомпозиција
У3.1. Компромитација приватних кључева примаоца шифрованих података.
У3.1.1 Линк: „Типичан модел претње. Криптографски систем заштите информација. У1. Компромитација приватних криптографских кључева".

У3.2. Замена шифрованих података у безбедном каналу размене података.

У4. Креирање електронског потписа легитимног потписника под лажним подацима

Декомпозиција
У4.1. Компромитација приватних кључева електронског потписа легитимног потписника.
У4.1.1 Линк: „Типичан модел претње. Криптографски систем заштите информација. У1. Компромитација приватних криптографских кључева".

У4.2. Замена потписаних података у отвореном каналу размене података.
Напомена У4.2.
Примери имплементације ове претње су дати у наставку. овде и овде.

У5. Добијање позитивног резултата провером електронског потписа фалсификованих података

Декомпозиција
У5.1. Нападачи пресрећу поруку у каналу за пренос резултата рада о негативном резултату провере електронског потписа и замењују је поруком са позитивним резултатом.

У5.2. Нападачи нападају поверење у потписивање сертификата (СЦРИПТ - сви елементи су обавезни):
У5.2.1. Нападачи генеришу јавни и приватни кључ за електронски потпис. Ако систем користи сертификате кључева електронског потписа, онда они генеришу сертификат електронског потписа који је што сличнији сертификату намераваног пошиљаоца података чију поруку желе да кривотворе.
У5.2.2. Нападачи врше неовлашћене промене у складишту јавних кључева, дајући јавном кључу потребан ниво поверења и ауторитета.
У5.2.3. Нападачи потписују лажне податке претходно генерисаним кључем за електронски потпис и убацују их у безбедни канал за размену података.

У5.3. Нападачи врше напад користећи истекле кључеве електронског потписа законског потписника (СЦРИПТ - сви елементи су обавезни):
У5.3.1. Нападачи компромитују истекле (тренутно неважеће) приватне кључеве електронског потписа легитимног пошиљаоца.
У5.3.2. Нападачи замењују време у каналу за пренос времена временом у коме су компромитовани кључеви још увек били важећи.
У5.3.3. Нападачи потписују лажне податке претходно компромитованим кључем за електронски потпис и убацују их у безбедни канал за размену података.

У5.4. Нападачи врше напад користећи компромитоване кључеве електронског потписа законског потписника (СЦРИПТ - сви елементи су обавезни):
У5.4.1. Нападач прави копију складишта јавног кључа.
У5.4.2. Нападачи компромитују приватне кључеве једног од легитимних пошиљалаца. Он примећује компромис, опозива кључеве, а информација о опозиву кључа се ставља у складиште јавних кључева.
У5.4.3. Нападачи замењују складиште јавног кључа претходно копираним.
У5.4.4. Нападачи потписују лажне податке претходно компромитованим кључем за електронски потпис и убацују их у безбедни канал за размену података.

У5.5. <…> због присуства грешака у имплементацији 2. и 3. фазе верификације електронског потписа:
Објашњења У5.5.
Наведен је пример имплементације ове претње доле.

У5.5.1. Провера поверења у сертификат кључа електронског потписа само присуством поверења у сертификат којим је потписан, без ЦРЛ или ОЦСП провера.
Објашњења У5.5.1.
Пример имплементације претње.

У5.5.2. Приликом изградње ланца поверења за сертификат, ауторитети издавања сертификата се не анализирају
Објашњења У5.5.2.
Пример напада на ССЛ/ТЛС сертификате.
Нападачи су купили легитимни сертификат за своју е-пошту. Затим су направили лажни сертификат сајта и потписали га својим сертификатом. Ако се акредитиви не провере, онда ће се приликом провере ланца поверења испоставити да је исправан, и, сходно томе, лажни сертификат ће такође бити тачан.

У5.5.3. Када се гради ланац поверења сертификата, средњи сертификати се не проверавају за опозив.

У5.5.4. ЦРЛ-ови се ажурирају ређе него што их издаје ауторитет за сертификацију.

У5.5.5. Одлука о поверењу електронском потпису се доноси пре него што се прими ОЦСП одговор о статусу сертификата, послат на захтев учињен касније од тренутка када је потпис генерисан или раније од следећег ЦРЛ-а након генерисања потписа.
Објашњења У5.5.5.
У прописима већине ЦА, време опозива сертификата се сматра временом издавања најближег ЦРЛ који садржи информације о опозиву сертификата.

У5.5.6. Приликом пријема потписаних података не проверава се сертификат који припада пошиљаоцу.
Објашњења У5.5.6.
Пример напада. У вези са ССЛ сертификатима: кореспонденција адресе позваног сервера са вредношћу ЦН поља у сертификату се не може проверавати.
Пример напада. Нападачи су компромитовали кључеве електронског потписа једног од учесника платног система. Након тога су упали у мрежу другог учесника и у његово име послали платне документе потписане компромитованим кључевима на сервер за поравнање платног система. Ако сервер само анализира поверење и не проверава усклађеност, лажни документи ће се сматрати легитимним.

У6. Погрешан пријем електронских докумената на извршење због проблема у организовању електронског тока докумената.

Декомпозиција
У6.1. Прималац не открива дуплирање примљених докумената.
Објашњења У6.1.
Пример напада. Нападачи могу пресрести документ који се преноси примаоцу, чак и ако је криптографски заштићен, а затим га више пута послати преко безбедног канала за пренос података. Ако прималац не идентификује дупликате, онда ће сви примљени документи бити перципирани и обрађени као различити документи.

У7. Неовлашћен приступ заштићеним подацима током њихове обраде од стране ЦИПФ-а

Декомпозиција

У7.1. <…> због цурења информација преко бочних канала (напад бочног канала).
Објашњења У7.1.
Пример напада.

У7.2. <…> због неутрализације заштите од неовлашћеног приступа информацијама које се обрађују на ЦИПФ-у:
У7.2.1. Рад ЦИПФ-а у супротности са захтевима описаним у документацији за ЦИПФ.

У7.2.2. <…>, спроведено због присуства рањивости у:
У7.2.2.1. <…> средства заштите од неовлашћеног приступа.
У7.2.2.2. <…> сам ЦИПФ.
У7.2.2.3. <…> оперативно окружење крипто-алатке.

Примери напада

Сценарији о којима се говори у наставку очигледно садрже грешке у безбедности информација и служе само за илустрацију могућих напада.

Сценарио 1. Пример имплементације претњи У2.2 и У4.2.

Опис објекта


АВС КБР софтвер и ЦИПФ СЦАД Сигнатуре су инсталирани на физичком рачунару који није повезан на рачунарску мрежу. ФКН вдТокен се користи као носач кључа у режиму рада са кључем који се не може уклонити.

Прописи о поравнању претпостављају да стручњак за поравнање са свог радног рачунара преузима електронске поруке у чистом тексту (шема старе КБР радне станице) са посебног безбедног фајл сервера, затим их уписује на преносиви УСБ флеш диск и преноси на КБР радну станицу, где су шифровани и знакови. Након тога, специјалиста преноси сигурне електронске поруке на отуђени медиј, а затим их преко свог радног рачунара уписује на фајл сервер, одакле иду у УТА, а затим у платни систем Банке Русије.

У овом случају, канали за размену отворених и заштићених података ће укључивати: сервер датотека, радни рачунар специјалисте и отуђене медије.

Аттацк
Неовлашћени нападачи инсталирају систем даљинског управљања на радни рачунар специјалисте и у тренутку писања налога за плаћање (електронске поруке) на преносиви медиј замењују садржај једног од њих у чистом тексту. Специјалиста преноси налоге за плаћање на аутоматизовано радно место КБР-а, потписује их и шифрује не примећујући замену (на пример, због великог броја налога за плаћање на лету, умора и сл.). Након тога, лажни налог за плаћање, прошавши кроз технолошки ланац, улази у платни систем Банке Русије.

Сценарио 2. Пример имплементације претњи У2.2 и У4.2.

Опис објекта


Рачунар са инсталираном радном станицом КБР, СЦАД Сигнатуре и повезаним носачем кључева ФКН вдТокен ради у наменској просторији без приступа особља.
Специјалиста за прорачун се повезује са ЦБД радном станицом у режиму удаљеног приступа преко РДП протокола.

Аттацк
Нападачи пресрећу детаље помоћу којих се стручњак за прорачун повезује и ради са ЦБД радном станицом (на пример, путем злонамерног кода на свом рачунару). Затим се повезују у његово име и шаљу лажни налог за плаћање у платни систем Банке Русије.

Сценарио 3. Пример имплементације претње У1.3.

Опис објекта


Хајде да размотримо једну од хипотетичких опција за имплементацију модула интеграције АБС-КБР за нову шему (АВС КБР-Н), у којој се електронски потпис одлазних докумената јавља на страни АБС-а. У овом случају, претпоставићемо да АБС ради на основу оперативног система који није подржан ЦИПФ СКАД потписом, и, сходно томе, криптографска функционалност се преноси на посебну виртуелну машину - интеграцију „АБС-КБР“ модул.
Као носилац кључа користи се обичан УСБ токен који ради у режиму кључа који се може преузети. Приликом повезивања кључног медија са хипервизором, испоставило се да у систему нема слободних УСБ портова, па је одлучено да се УСБ токен повеже преко мрежног УСБ чворишта, а да се на виртуелни рачунар инсталира УСБ-овер-ИП клијент. машина, која би комуницирала са чвориштем.

Аттацк
Нападачи су пресрели приватни кључ електронског потписа из комуникационог канала између УСБ чворишта и хипервизора (подаци су пренети у чистом тексту). Имајући приватни кључ, нападачи су генерисали лажни налог за плаћање, потписали га електронским потписом и послали на аутоматско радно место КБР-Н на извршење.

Сценарио 4. Пример имплементације претњи У5.5.

Опис објекта
Размотримо исто коло као у претходном сценарију. Претпоставићемо да електронске поруке које долазе са КБР-Н радне станице завршавају у фасцикли …СХАРЕИн, а оне које се шаљу на КБР-Н радну станицу и даље у платни систем Банке Русије иду у …СХАРЕоут.
Такође ћемо претпоставити да се приликом имплементације интеграционог модула листе опозваних сертификата ажурирају само када се поново издају криптографски кључеви, као и да се електронске поруке примљене у фолдеру …СХАРЕИн проверавају само за контролу интегритета и контролу поверења у јавном кључу електронски потпис.

Аттацк

Нападачи су, користећи кључеве украдене у претходном сценарију, потписали лажни налог за плаћање који је садржао информацију о пријему новца на рачун лажног клијента и унео га у безбедни канал размене података. Пошто не постоји провера да је налог за плаћање потписала Банка Русије, он је прихваћен за извршење.

Извор: ввв.хабр.цом