EDMS "Corporate Document Flow" podržava upotrebu elektronski digitalni potpisi (EDS) kada radite sa sistemskim fajlovima. EDS podrška je obezbeđena na nivou ugrađenom u platformu "1C: Enterprise 8.3 / 8.2" kriptografiju i mehanizme enkripcije, kao i korištenje dodatnih konfiguracijskih metapodataka objekata.
Da biste omogućili mogućnost korišćenja digitalnih potpisa u sistemu toka dokumenata, otvorite sistemske postavke obrasca „Podešavanje parametara: Sistem“ (koji se nalazi u podsistemu „Administracija sistema“).
Na kartici „Opće postavke“ omogućite potvrdni okvir „Koristi elektronske digitalne potpise“, a zatim kliknite na dugme „Postavke kriptografije“.
U prozoru koji se otvori odaberite tip provajdera (za provajdera CryptoPro vrijednost treba biti jednaka 75) i drugim parametrima. Kada koristite CryptoPro provajdera (Crypto-Pro GOST R 34.10-2001 Provajder kriptografskih usluga), sledeće vrednosti će se automatski uneti:
- Algoritam potpisa: GOST R 34.10-2001
- Hash algoritam: GOST R 34.11-94
- Algoritam šifriranja: GOST 28147-89
Ako se verifikacija digitalnog potpisa vrši na serveru, a kao server se koristi Linux operativni sistem, tada morate navesti putanju do njegovog kriptografskog modula.
Primjer postavljanja kriptografskog modula za CryptoPro prikazan je na donjoj slici.
Da biste radili sa elektronskim digitalnim potpisima u sistemu upravljanja dokumentima, prvo ih morate nabaviti od dobavljača digitalnog potpisa. Da biste testirali rad i obučili korisnike, možete dobiti probne digitalne potpise od centra za sertifikaciju CryptoPro testa. Sljedeći odjeljak prikazuje korak po korak primjer pribavljanja i instaliranja elektronskog potpisa.
Prijem i instaliranje digitalnog potpisa
Da biste dobili i instalirali elektronski potpis, morate ga instalirati softverski proizvod"CryptoPro CSP 3.6". Proizvod se može preuzeti na web stranici cryptopro.ru u odjeljku „CIPF proizvodi CryptoPro CSP/TLS/JSP“, stavci „Preuzimanje datoteka“.
Prije preuzimanja distribucije i početka generiranja elektroničkog potpisa, morate se registrirati na stranici i prijaviti se na svoj račun.
Ovisno o vašem operativnom sistemu, možete preuzeti distribuciju koja vam je potrebna, primjer je prikazan na slici ispod.
Nakon preuzimanja, pokrenite instalaciju iz distributivnog paketa, sačekajte da se instalacija završi i ponovo pokrenite računar. Sada možete nastaviti sa generiranjem digitalnih potpisa za zaposlenike.
Nakon što se prijavite na web stranicu Crypto-Pro provajdera pod vašim računom, idite na odjeljak „Podrška“ i odaberite „Test Certification Authority“ ili koristite komercijalni pristup generiranju digitalnog potpisa od ovog provajdera.
Formiranje elektronskog digitalnog potpisa na web stranici Crypto-Pro mora se izvršiti u pretraživaču InternetExplorer (poželjno verzija ne niža od 9), a morate dozvoliti rad sa ActiveX elementima.
Da biste započeli proces generiranja elektronskog digitalnog potpisa, odaberite "Generiraj ključeve i pošalji zahtjev za certifikat".
On nova stranica odaberite "Kreiraj i izdaj zahtjev ovom CA."
Otvara se stranica za unos podataka o zaposlenima. Potrebno je navesti njegovo puno ime, email i druge podatke.
U odjeljku Vrsta potrebnog certifikata navedite "Client Authentication Certificate". Takođe naznačite da trebate kreirati novi set ključeva CSP Crypto-Pro GOST R 34.10-2001 Cryptographic Service Provider.
Potrebno je označiti ključ kao izvozivi, odabrati format zahtjeva PKCS10 i algoritam za heširanje GOST R 34.11-94 u dodatnim parametrima. Da biste započeli proces generiranja EDS certifikata, kliknite na dugme “Izdavanje”.
Nakon što kliknete na dugme „Problem“, otvoriće se dijalog za odabir lokacije izvezenog ključa. Preporučuje se odabir prenosivi medij. U našem primjeru ćemo odabrati fleš disk pod nazivom MyDrive.
U procesu formiranja elektronskog digitalnog potpisa bit će potrebno raditi sa biološkim senzorom slučajni brojevi. Nasumični brojevi se dobijaju pokretima miša i pritiskom na tastere.
Ako pritisnete tipke miša, i to će dovesti do formiranja slučajnih vrijednosti, ali nemojte se zanositi, jer će se po završetku kreiranja paketa slučajnih brojeva umjesto prikazanog prozora prikazati prozor u kojem ćete će morati kreirati lozinku za elektronski digitalni potpis i možete slučajno kliknuti na nepotrebno dugme u prozoru za generisanje lozinke.
Nakon uspješnog završetka generiranja certifikata, sistem će ponuditi da ga instalira na vaš operativni sistem. Klikom na vezu “Instaliraj ovaj certifikat” instalirat će se vaš certifikat digitalnog potpisa.
Certifikati se instaliraju u odjeljku certifikata trenutnog korisnika u direktoriju “Sertifikati ličnog registra”.
Otvori ovu listu Certifikati se mogu dobiti preko menija “Start Programs”, stavke “Crypto-Pro”. Na slici ispod prikazan je primjer za Windows 7.
Nakon generisanja sertifikata, možete nastaviti sa njihovom upotrebom u EDMS „Corporate Document Flow“.
Trenutno sistem implementira sljedeće mehanizme vezane za digitalni potpis:
- Potpisivanje dokumenata digitalnim potpisom
- Provjera potpisa dokumenata
- Učitavanje dokumenata i potpisa u fajlove
- Učitavanje dokumenata i potpisa iz fajlova
- Šifrovanje fajlova sa mogućnošću otvaranja određenoj listi osoba
Osnovne radnje se mogu izvršiti sa kartice datoteka. Na slici ispod prikazana je kartica datoteke na dnu obrasca, na kartici “EDS” možete potpisati dokument. Da biste potpisali dokument, kliknite na dugme „Potpiši“ i na ekranu će se prikazati lista potpisa zaposlenih koji postoje na ovom računaru, izaberite željeni potpis, unesite lozinku i kliknite na dugme „Potpiši“. Fajl će biti potpisan.
U tabeli se pojavljuje zapis koji sadrži puno ime i prezime zaposlenika koji potpisuje, datum i vrijeme potpisivanja i komentar.
Potpisana datoteka može imati jedan ili više potpisa, ako postoji barem jedan potpis, gumbi za uređivanje datoteke postaju nedostupni.
Korisnici mogu provjeriti status potpisa u bilo kojem trenutku klikom na dugme “Provjeri” ili “Provjeri sve”. Ako je potpis zaposlenika ispravan i dokument nije promijenjen, tada će se u koloni „Status“ pojaviti unos „Ispravan“.
Datoteka se može sačuvati sa kartice na disk računara da biste to uradili, izaberite iz menija "EDS i enkripcija" Stavka „Spremi sa digitalnim potpisom“.
Pod pretpostavkom da je sačuvana datoteka izmijenjena, možete dodati jedan znak sadržaju sačuvane datoteke za provjeru. Sada hajde da otpremimo datoteku u sistem za upravljanje dokumentima, kao i da otpremimo digitalne potpise koji su sačuvani sa njim.
Kreirajmo novi korporativni dokument u EDMS-u "Corporate Document Flow" i dodajmo sačuvanu datoteku u koju možete dodati datoteku tako što ćete je prevući u polje liste datoteka. Kasnije ćemo učitati fajlove s potpisom p7s.
Sada otvorite karticu preuzete datoteke i odaberite “Dodaj digitalni potpis iz datoteke” u izborniku “EDS i šifriranje”. Odaberite sačuvane potpise zaposlenika s diska i kliknite na dugme “OK”. Primjer preuzimanja prikazan je na donjoj slici.
Pošto smo mi promijenili naš fajl, provjera potpisa daje grešku. U koloni “Status” pojavljuje se unos “Neispravan, heš vrijednost je netočna”.
Ova poruka ukazuje da je digitalni potpis zaposlenih kompromitovan i da više nije pouzdan. Da nismo promijenili našu datoteku na disku, tada bi provjera digitalnog potpisa dala ispravan rezultat.
EDMS "Corporate Document Flow" omogućava šifriranje datoteka korištenjem digitalnih potpisa.
Šifriranje datoteke omogućava vam da ograničite pristup datoteci samo na one zaposlenike koji su navedeni na listi korisnika, neće moći čitati datoteku, čak i ako joj imaju fizički pristup. Datoteka je pohranjena u šifriranom obliku prema GOST 28147-89.
Nakon šifriranja, lista korisnika koji mogu vidjeti datoteku nalazi se na kartici „Šifrirano za“ obrasca kartice datoteke.
Pokušaj otvaranja fajla radi pregleda rezultira potrebom da se unese lozinka za elektronski digitalni potpis.
Za rad sa mehanizmima elektronskog digitalnog potpisa potrebna je verzija platforme 1C:Enterprise ne niža od 8.2.14.
Šifriranje sistema datoteka
Šifriranje sistem datoteka je usluga usko integrirana sa NTFS, smještena u Windows kernel 2000. Njegova svrha: zaštita podataka pohranjenih na disku od neovlaštenog pristupa njihovim šifriranjem. Pojava ove usluge nije slučajna, već je dugo očekivana. Činjenica je da sistemi datoteka koji danas postoje ne pružaju potrebnu zaštitu podataka od neovlaštenog pristupa.
Pažljivi čitalac bi mi mogao prigovoriti: šta je sa Windows NT sa njegovim NTFS-om? Uostalom, NTFS pruža kontrolu pristupa i zaštitu podataka od neovlaštenog pristupa! Da, istina je. Ali šta ako pristup NTFS particija Da li se to sprovodi ne koristeći Windows NT operativni sistem, već direktno, na fizičkom nivou? Na kraju krajeva, ovo je relativno lako implementirati, na primjer, dizanjem s diskete i pokretanjem poseban program: na primjer, vrlo uobičajeni ntfsdos. Sofisticiraniji primjer je NTFS98 proizvod. Naravno, možete predvidjeti ovu mogućnost i postaviti lozinku za pokretanje sistema, ali praksa pokazuje da je takva zaštita neefikasna, posebno kada više korisnika radi na istom računaru. I ako napadač može izvući hard disk sa računara, onda nikakve lozinke ovde neće pomoći. Povezivanjem disk jedinice sa drugim računarom, njen sadržaj se može čitati sa istom lakoćom kao i ovaj članak. Dakle, napadač može slobodno preuzeti povjerljive informacije pohranjene na tvrdom disku.
Jedini način zaštite od fizičkog čitanja podataka je šifriranje datoteka. Najjednostavniji slučaj takve enkripcije je arhiviranje datoteke sa lozinkom. Međutim, postoji niz ozbiljnih nedostataka. Prvo, korisnik treba ručno šifrirati i dešifrirati (odnosno u našem slučaju arhivirati i dearhivirati) podatke svaki put prije početka i nakon završetka rada, što samo po sebi umanjuje sigurnost podataka. Korisnik može zaboraviti šifrirati (arhivirati) datoteku nakon završetka rada ili (još uobičajenije) jednostavno ostaviti kopiju datoteke na disku. Drugo, lozinke koje kreiraju korisnici obično je lako pogoditi. U svakom slučaju, postoji dovoljan broj uslužnih programa koji vam omogućavaju da raspakujete arhive zaštićene lozinkom. Po pravilu, takvi uslužni programi nagađaju lozinku pretražujući riječi napisane u rječniku.
EFS sistem je razvijen da prevaziđe ove nedostatke. U nastavku ćemo detaljnije pogledati detalje tehnologije šifriranja, EFS interakciju s korisnikom i metode oporavka podataka, upoznati se s teorijom i implementacijom EFS-a u Windows 2000, a također ćemo pogledati primjer šifriranja direktorija pomoću EFS-a.
Tehnologija šifriranja
EFS koristi Windows CryptoAPI arhitekturu. Zasnovan je na tehnologiji šifriranja javnog ključa. Za šifriranje svake datoteke, nasumično se generira ključ za šifriranje datoteke. U ovom slučaju, bilo koji simetrični algoritam šifriranja može se koristiti za šifriranje datoteke. Trenutno, EFS koristi jedan algoritam, DESX, koji je posebna modifikacija široko korištenog DES standarda.
Ključevi EFS enkripcija su pohranjeni u rezidentnom memorijskom spremištu (sama EFS se nalazi u jezgru Windowsa 2000), što im onemogućava neovlašteni pristup putem datoteke stranične memorije.
Interakcija korisnika
Prema zadanim postavkama, EFS je konfiguriran tako da korisnik može odmah početi koristiti šifriranje datoteka. Podržane su šifriranje i obrnute operacije za datoteke i direktorije. Ako je direktorij šifriran, sve datoteke i poddirektoriji ovog direktorija se automatski šifriraju. Treba napomenuti da ako se šifrirana datoteka premjesti ili preimenuje iz šifriranog direktorija u nešifrirani, ona će i dalje ostati šifrirana. Operacije šifriranja/dešifriranja mogu se izvesti na dva različita načina - korištenjem Windows Explorer ili uslužni program Cipher konzole.
Da bi šifrovao direktorijum iz Windows Explorera, korisnik jednostavno treba da odabere jedan ili više direktorijuma i označi polje za šifrovanje u prozoru naprednih svojstava direktorijuma. Sve datoteke i poddirektoriji kreirani kasnije u ovom direktoriju će također biti šifrirani. Dakle, možete šifrirati datoteku jednostavnim kopiranjem (ili premještanjem) u "šifrirani" direktorij.
Šifrovani fajlovi se pohranjuju na disku u šifrovanom obliku. Prilikom čitanja datoteke podaci se automatski dešifriraju, a prilikom pisanja automatski šifriraju. Korisnik može raditi sa šifriranim datotekama na isti način kao i sa obični fajlovi, odnosno otvorite i uredite u uređivač teksta Microsoft Word dokumenti, uredi slike u Adobe Photoshop ili grafički editor Boja i tako dalje.
Treba napomenuti da ni pod kojim okolnostima ne smijete šifrirati datoteke koje se koriste prilikom pokretanja sistema - u ovom trenutku korisnički lični ključ, kojim se vrši dešifriranje, još nije dostupan. Ovo može onemogućiti pokretanje sistema! EFS pruža jednostavnu zaštitu od takvih situacija: datoteke sa atributom “sistem” nisu šifrirane. Međutim, budite oprezni: ovo može stvoriti sigurnosnu rupu! Provjerite je li atribut datoteke postavljen na "sistem" kako biste bili sigurni da će datoteka zaista biti šifrirana.
Također je važno zapamtiti da se šifrirane datoteke ne mogu komprimirati koristeći Windows 2000. i obrnuto. Drugim riječima, ako je direktorij komprimiran, njegov sadržaj se ne može šifrirati, a ako je sadržaj direktorija šifriran, onda se ne može komprimirati.
U slučaju da je potrebno dešifriranje podataka, jednostavno morate poništiti okvire za šifriranje za odabrane direktorije u Windows Exploreru, a datoteke i poddirektoriji će se automatski dešifrirati. Treba napomenuti da ova operacija obično nije potrebna, budući da EFS korisniku pruža "transparentno" iskustvo sa šifrovanim podacima.
Data Recovery
EFS pruža ugrađenu podršku za oporavak podataka u slučaju da ih trebate dešifrirati, ali iz nekog razloga to se ne može učiniti normalno. Prema zadanim postavkama, EFS će automatski generirati ključ za oporavak, u koji će instalirati certifikat za pristup račun administratora i sačuvajte ga kada se prvi put prijavite. Tako administrator postaje takozvani agent za oporavak i moći će dešifrirati bilo koju datoteku na sistemu. Naravno, politika oporavka podataka se može promijeniti, a za agenta za oporavak može se imenovati posebna osoba odgovorna za sigurnost podataka, ili čak nekoliko takvih osoba.
Malo teorije
EFS šifrira podatke koristeći šemu zajedničkog ključa. Podaci se brzo šifriraju simetrični algoritam koristeći ključ za šifriranje datoteke FEK (ključ za šifriranje datoteke). FEK je nasumično generirani ključ određene dužine. Dužina ključa u sjevernoameričkoj verziji EFS-a je 128 bita, međunarodna verzija EFS-a koristi smanjenu dužinu ključa od 40 ili 56 bita.
FEK je šifriran s jednim ili više zajedničkih ključeva za šifriranje, što rezultira listom šifriranih FEK ključeva. Lista šifriranih FEK ključeva pohranjena je u posebnom EFS atributu koji se zove DDF (polje za dešifriranje podataka). Informacije koje se koriste za šifriranje podataka usko su povezane s ovom datotekom. Javni ključevi se izdvajaju iz parova korisničkih ključeva X509 certifikata dodatna prilika koristeći "šifriranje datoteke". Privatni ključevi iz ovih parova se koriste u dešifriranju podataka i FEK-u. Privatni dio ključeva je pohranjen ili na pametnim karticama ili na drugoj sigurnoj lokaciji (na primjer, u memoriji, čija je sigurnost osigurana korištenjem CryptoAPI).
FEK je takođe šifrovan pomoću jednog ili više ključeva za oporavak (izvedenih iz X509 sertifikata zabeleženih u politici oporavka šifrovanih podataka računara, sa opcionom opcijom „Oporavak datoteke“).
Kao iu prethodnom slučaju, javni dio ključa se koristi za šifriranje FEK liste. Lista šifriranih FEK ključeva se također pohranjuje s datotekom u posebnom području EFS-a pod nazivom DRF (polje za oporavak podataka). DRF koristi samo zajednički dio svakog para ključeva za šifriranje FEK liste. Za normalne operacije datoteka potrebni su samo zajednički ključevi za oporavak. Agenti za oporavak mogu pohraniti svoje privatne ključeve na sigurnoj lokaciji izvan sistema (na primjer, na pametnim karticama). Na slici su prikazani dijagrami procesa enkripcije, dešifriranja i oporavka podataka.
Proces šifriranja
Nešifrirana datoteka korisnika je šifrirana pomoću nasumično generiranog FEK-a. Ovaj ključ je upisan uz datoteku, a datoteka se dešifruje korištenjem korisničkog javnog ključa (pohranjenog u DDF) kao i javnog ključa agenta za oporavak (pohranjenog u DRF-u).
Proces dešifriranja
Prvo, privatni ključ korisnika se koristi za dešifriranje FEK-a - to se radi korištenjem šifrirane verzije FEK-a koja je pohranjena u DDF-u. Dešifrovani FEK se koristi za dešifrovanje fajla blok po blok. Ako u veliki fajl Pošto se blokovi ne čitaju sekvencijalno, dešifruju se samo čitljivi blokovi. Fajl ostaje šifriran.
Proces oporavka
Ovaj proces je sličan dešifriranju, s tom razlikom što se privatni ključ agenta za oporavak koristi za dešifriranje FEK-a, a šifrirana verzija FEK-a se uzima iz DRF-a.
Implementacija u Windows 2000
Na slici je prikazana EFS arhitektura:
EFS se sastoji od sljedećih komponenti:
EFS drajver
Ova komponenta se nalazi logično na vrhu NTFS-a. Interagira sa EFS uslugom, prima ključeve za šifriranje datoteka, DDF, DRF polja i druge podatke za upravljanje ključevima. Upravljački program prosljeđuje ove informacije u FSRTL (biblioteku vremena izvršavanja sistema datoteka) za transparentno izvršavanje različitih datoteka sistemske operacije(na primjer, otvaranje datoteke, čitanje, pisanje, dodavanje podataka na kraj datoteke).
EFS Runtime Library (FSRTL)
FSRTL je modul unutar EFS drajvera koji vrši eksterne pozive NTFS-u za obavljanje različitih operacija sistema datoteka kao što su čitanje, pisanje, otvaranje šifriranih datoteka i direktorija, kao i šifriranje, dešifriranje, operacije oporavka podataka prilikom pisanja na disk i čitanja s diska . Iako su EFS drajver i FSRTL implementirani kao jedna komponenta, oni nikada ne stupaju u direktnu interakciju. Oni koriste NTFS mehanizam poziva za razmjenu poruka među sobom. Ovo osigurava da je NTFS uključen u sve operacije sa datotekama. Operacije implementirane korištenjem mehanizama upravljanja datotekama uključuju upisivanje podataka u atribute EFS datoteke (DDF i DRF) i prosljeđivanje EFS izračunatih FEK-ova u FSRTL biblioteku, budući da se ovi ključevi moraju postaviti u kontekstu otvorene datoteke. Ovaj otvoreni kontekst datoteke tada omogućava diskretno šifriranje i dešifriranje datoteka dok se datoteke upisuju i čitaju s diska.
EFS servis
EFS usluga je dio sigurnosnog podsistema. Koristi postojeći LPC komunikacioni port između LSA (Local Security Authority) i sigurnosnog monitora u režimu kernela za komunikaciju sa EFS drajverom. U korisničkom režimu, EFS usluga je u interakciji sa CryptoAPI-jem kako bi obezbedila ključeve za šifrovanje datoteka i obezbedila DDF i DRF generisanje. Osim toga, EFS servis podržava Win32 API.
Win32 API
Pruža programski interfejs za enkripciju otvorite fajlove, dešifriranje i oporavak zatvorenih datoteka, prijem i prijenos zatvorenih datoteka bez prethodnog dešifriranja. Implementirano kao standard sistemska biblioteka advapi32.dll.
Malo vežbe
Za šifriranje datoteke ili direktorija slijedite ove korake:
- Pokrenite Windows Explorer, kliknite desnim tasterom miša na direktorijum, izaberite Svojstva.
- Na kartici Opšte kliknite na dugme Napredno.
- Označite okvir pored "Šifriranje sadržaja radi zaštite podataka". Kliknite OK, a zatim kliknite Primijeni u dijalogu Svojstva. Ako ste odabrali šifriranje pojedinačne datoteke, dodatno će se pojaviti dijaloški okvir koji izgleda ovako:
Sistem nudi i šifriranje direktorija u kojem se nalazi odabrana datoteka, jer će u suprotnom šifriranje automatski biti poništeno prilikom prve izmjene takve datoteke. Uvijek imajte ovo na umu kada šifrirate pojedinačne datoteke!
U ovom trenutku, proces enkripcije podataka se može smatrati završenim.
Za dešifriranje direktorija jednostavno poništite opciju "Šifriranje sadržaja radi zaštite podataka". U tom slučaju, direktoriji, kao i svi poddirektoriji i datoteke u njima, bit će dešifrirani.
Zaključci
- EFS u Windows 2000 korisnicima pruža mogućnost šifriranja NTFS direktorija koristeći jaku kriptografsku šemu sa zajedničkim ključem, a sve datoteke u privatnim direktorijima će biti šifrirane. Enkripcija odvojeni fajlovi podržano, ali se ne preporučuje zbog nepredvidivog ponašanja aplikacije.
- EFS takođe podržava enkripciju izbrisane datoteke, kojima se pristupa kao zajednički resursi. Ako postoje korisnički profili za povezivanje, koriste se ključevi i sertifikati udaljenih profila. U drugim slučajevima, generiraju se lokalni profili i koriste se lokalni ključevi.
- EFS sistem vam omogućava da postavite politiku oporavka podataka tako da se šifrirani podaci mogu oporaviti pomoću EFS-a ako je potrebno.
- Politika oporavka podataka ugrađena je u opću sigurnosnu politiku Windows 2000. Sprovođenje politike oporavka može se prenijeti na ovlaštene osobe. Svaka organizacijska jedinica može imati konfiguriranu vlastitu politiku oporavka podataka.
- Oporavak podataka u EFS-u je zatvorena operacija. Proces oporavka dešifrira podatke, ali ne i korisnički ključ kojim su podaci šifrirani.
- Rad sa šifriranim datotekama u EFS-u ne zahtijeva od korisnika da poduzme nikakve posebne korake za šifriranje i dešifriranje podataka. Dešifrovanje i šifrovanje se dešavaju neprimećeno od strane korisnika tokom procesa čitanja i pisanja podataka na disk.
- EFS sistem podržava backup i oporavak šifriranih datoteka bez njihovog dešifriranja. NtBackup podržava sigurnosnu kopiju šifriranih datoteka.
- EFS je ugrađen u operativni sistem na način da je nemoguće curenje informacija kroz swap fajlove, pri čemu se osigurava da svi kreirane kopijeće biti šifriran
- Predviđene su brojne mjere opreza kako bi se osigurala sigurnost oporavka podataka, kao i zaštita od curenja i gubitka podataka u slučaju fatalnih kvarova na sistemu.
Osnovni zahtjevi za šifre
· šifrovana poruka mora biti čitljiva samo ako je ključ dostupan;
· broj operacija potrebnih za određivanje korištenog ključa za šifriranje iz fragmenta šifrirane poruke i odgovarajućeg otvorenog teksta mora biti najmanje ukupan broj mogući ključevi;
· broj operacija potrebnih za dešifriranje informacija pretraživanjem svih mogućih ključeva mora imati strogu donju granicu i prelaziti granice mogućnosti savremenih kompjutera(uzimajući u obzir mogućnost korištenja mrežnog računarstva);
· poznavanje algoritma za šifrovanje ne bi trebalo da utiče na pouzdanost zaštite
mala promjena ključa bi trebala dovesti do značajne promjene u tipu šifrirane poruke, čak i kada se šifrira isti izvorni tekst;
· mala promjena u izvornom tekstu trebala bi dovesti do značajne promjene tipa šifrirane poruke, čak i kada se koristi isti ključ;
· strukturni elementi algoritma šifriranja moraju biti nepromijenjeni;
· dodatni bitovi uneseni u poruku tokom procesa šifriranja moraju biti potpuno i sigurno skriveni u šifriranom tekstu;
· dužina šifriranog teksta mora biti jednaka dužini originalnog teksta;
· ne bi trebalo postojati jednostavne i lako uspostavljene zavisnosti između ključeva koji se koriste sekvencijalno u procesu šifrovanja;
· svaki ključ iz skupa mogućih mora osigurati pouzdana zaštita informacije;
· algoritam mora omogućiti i softversku i hardversku implementaciju, dok promjena dužine ključa ne bi trebala dovesti do kvalitativnog pogoršanja algoritma šifriranja.
Softverske implementacije šifri
Mogućnost implementacije softvera je zbog činjenice da su sve metode kriptografske transformacije formalne i da se mogu predstaviti u obliku završne algoritamske procedure.
U prednosti implementacija softvera može se pripisati njegovoj fleksibilnosti i prenosivosti. Drugim riječima, program napisan za jedan operativni sistem može se modificirati za bilo koju vrstu operativnog sistema. Takođe, ažuriranje softver moguće sa manje vremena i novca. Osim toga, mnoga moderna dostignuća u oblasti kriptografskih protokola nisu dostupna za implementaciju u hardveru.
Na nedostatke softver kriptografska zaštita Treba razmotriti mogućnost ometanja algoritama šifriranja i dobijanja pristupa ključnim informacijama pohranjenim u javnoj memoriji. Ove operacije se obično izvode pomoću jednostavnog skupa softverski alati. Tako, na primjer, u mnogima operativni sistemi Dump memorije za hitne slučajeve vrši se na tvrdi disk, a u memoriji mogu biti ključevi koje nije teško pronaći.
Stoga je slaba fizička sigurnost softvera jedan od glavnih nedostataka ovakvih metoda za implementaciju algoritama šifriranja.
Implementacija softvera i hardvera
IN u poslednje vreme Počeli su da se pojavljuju kombinovani alati za šifrovanje, tzv. softver i hardver. U ovom slučaju, računar koristi neku vrstu „kriptografskog koprocesora“ - računarski uređaj fokusiran na izvođenje kriptografskih operacija (modulsko zbrajanje, pomak, itd.). Promjenom softvera za takav uređaj možete odabrati jednu ili drugu metodu šifriranja.
Glavne funkcije koje se dodjeljuju hardveru softversko-hardverskog kompleksa za zaštitu kriptografskih informacija obično su generiranje ključnih informacija i njihovo pohranjivanje u uređaje zaštićene od neovlaštenog pristupa napadača. Osim toga, korištenjem tehnika ovog tipa, moguće je autentifikovati korisnike pomoću lozinki (statičkih ili dinamički promjenjivih, koje se mogu pohraniti na različite medije ključnih informacija), ili na osnovu biometrijskih karakteristika jedinstvenih za svakog korisnika. Uređaj za čitanje takvih informacija može biti dio softverske i hardverske implementacije alata za sigurnost informacija.
Microsoft Office 2010 sadrži opcije koje vam omogućavaju da kontrolišete koji su podaci šifrovani kada koristite Microsoft Access 2010, Microsoft Excel 2010, Microsoft OneNote 2010, Microsoft PowerPoint 2010, Microsoft Project 2010 i Microsoft Word 2010. Ovaj članak govori o kriptografiji i šifriranju u sistemu Office 2010, opisujući opcije funkcije šifriranja podataka i pružajući informacije o naslijeđenoj kompatibilnosti Microsoft verzije Ured.
Dok planirate svoje opcije šifriranja, uzmite u obzir sljedeće smjernice:
- Preporučujemo da ne mijenjate zadane postavke šifriranja osim ako sigurnosni model vaše organizacije ne zahtijeva postavke šifriranja koje se razlikuju od zadanih postavki.
- Preporučujemo korištenje dužine i složenosti lozinke koja osigurava da se jake lozinke koriste prilikom šifriranja podataka.
- Preporučujemo Vam Ne koristite RC4 enkripciju.
- Ne postoji administrativna postavka koja vam omogućava da natjerate korisnike da šifriraju dokumente. Međutim, postoji administrativna postavka koja vam omogućava da uklonite mogućnost dodavanja lozinki za dokumente i na taj način spriječite šifriranje dokumenta.
- Čuvanje dokumenata na pouzdanim lokacijama ne utiče na postavke šifriranja. Ako je dokument šifriran i pohranjen na sigurnoj lokaciji, korisnik mora dati lozinku za otvaranje dokumenta.
U ovom članku:
O kriptografiji i šifriranju u Office 2010
Algoritmi šifriranja dostupni za upotrebu sa Officeom zavise od algoritama koji mogu biti dostupni preko API-ja (interfejsa za programiranje aplikacije) u operativnom sistemu Windows. Office 2010, pored pružanja podrške za CryptoAPI (CryptoAPI), uključuje i podršku za CNG (CryptoAPI: Next Generation), koji je prvi put predstavljen u 2007 Microsoft Office sistemu SP2.
CNG omogućava fleksibilniju enkripciju, gdje možete specificirati algoritme koji podržavaju različitu enkripciju i heširanje na podređenom računaru za korištenje tokom procesa šifriranja dokumenta. CNG također omogućava bolju proširivost šifriranja, gdje se može koristiti šifriranje modula treće strane.
Kada nadležno tijelo koristi CryptoAPI, algoritmi šifriranja zavise od onih koje daje CSP (Dobavljač usluge kriptografije) koji je dio Windows operativnog sistema. Sljedeći ključ registratora sadrži listu CSP-ova instaliranih na računaru:
HKEY_LOCAL_MACHINE/software/microsoft/encryption/default/vendor
Sljedeći algoritmi CNG enkripcije, ili bilo koje druge šifre proširenja CNG instalirane na sistemu, mogu se koristiti sa Office 2010 ili Office 2007 servisnim paketom 2:
AES, DES, DESX, 3DES, 3DES_112 i RC2
Sljedeći LNG hash algoritmi, ili bilo koja druga proširenja LNG šifri instaliranih na sistemu, mogu se koristiti sa 2010 Office sistemom ili 2007 Office sistemom SP2:
MD2, MD4, MD5, RIPEMD-128, RIPEMD-160, SHA-1, SHA256, SHA384 i SHA512
Iako postoje opcije Office 2010 za promjenu načina na koji se šifriranje izvodi, prilikom šifriranja datoteka Open XML formata (.docx, .xslx, .pptx, itd.) zadane vrijednosti su AES (Advanced Encryption Standard), 128-bitna dužina ključa , SHA1 i CBC (lanac blokova šifre) - pružaju snažnu enkripciju i trebali bi biti dobri za većinu organizacija. AES enkripcija je najjači standardni algoritam koji je dostupan i odabran od strane Nacionalne sigurnosne agencije (NSA) za korištenje kao standard za vladu Sjedinjenih Država. AES enkripcija je podržana na Windows XP SP2, Windows Vista, Windows 7, Windows Server 2003 i Windows Server 2008.
Opcije kriptografije i šifriranja
Sljedeća tabela navodi opcije koje su dostupne za promjenu algoritama šifriranja kada se koristi verzija Microsoft Officea koja je dostupna za CryptoAPI. Ovo uključuje verzije Officea do i uključujući Office 2010.
|
Postavke |
Opis |
| Vrsta šifriranja za Office fajlovi Otvoren XML, zaštićen lozinkom | Ova opcija vam omogućava da postavite tip šifriranja za Open XML datoteke od dostupnih dobavljača kriptografskih usluga (CSP). Ova postavka je potrebna kada se koristi prilagođeno šifriranje COM dodatka. Za primanje dodatne informacije Pogledajte „Vodič za programere sistema za šifrovanje sistema Office 2007“, koji je dostupan kao deo sharepoint Server 2007 sdk. Ova postavka je potrebna ako koristite 2007 Office sistem SP1 ili koristite verziju paketa kompatibilnosti koja je starija od Microsoft Office paketa kompatibilnosti za Word, Excel i PowerPoint formate datoteka i želite promijeniti algoritam šifriranja na nešto osim zadanog. |
| Tip šifriranja za Office 97-2003 datoteke zaštićene lozinkom | Ova opcija vam omogućava da postavite tip šifriranja za Office 97–2003 datoteke (binarne) od dostupnih dobavljača kriptografskih usluga (CSP). Jedini podržani algoritam pri korištenju ove opcije je RC4, koji, kao što je ranije spomenuto, ne preporučujemo. |
U Office 2010, ako trebate promijeniti postavku tip šifriranja za Office Open XML datoteke zaštićene lozinkom, prvo morate omogućiti opciju Navedite kompatibilnost enkripcije i odaberite opciju koristite naslijeđeni format. Parametar specificirati kompatibilnost enkripcije Dostupno za pristup u 2010, Excel 2010, PowerPoint 2010 i Word 2010.
U sljedećoj tabeli navedene su opcije koje su dostupne za promjenu algoritama šifriranja kada koristite Office 2010. Ove opcije se primjenjuju na Access 2010, Excel 2010, OneNote 2010, PowerPoint 2010, Project 2010 i Word 2010.
|
Postavke |
Opis |
| Konfiguriranje CNG algoritma šifriranja | Ova opcija vam omogućava da konfigurirate CNG algoritam šifriranja koji se koristi. Podrazumevano je AES. |
| Postavite način rada kvačila za CNG kod | Ova opcija vam omogućava da konfigurirate način šifriranja i lanca koji se koristi. Podrazumevano je Povezivanje blokova šifre (CBC). |
| Postavite dužinu ključa za LNG šifriranje | Ova opcija vam omogućava da konfigurirate broj bitova koji će se koristiti prilikom kreiranja ključa za šifriranje. Zadana vrijednost je 128 bita. |
| Postavite kompatibilnost enkripcije | Ova opcija vam omogućava da odredite format kompatibilnosti. Zadana vrijednost - korištenje formata sljedeće generacije. |
| Postavljanje parametara za LNG kontekst | Ovaj parametar vam omogućava da odredite parametre šifriranja koji bi se trebali koristiti za LNG kontekst. Da biste koristili ovu opciju, CNG kontekst se prvo mora kreirati pomoću CryptoAPI: Next Generation (CNG). |
| Postavite LNG algoritam heširanja | Ova opcija vam omogućava da postavite korišteni algoritam heširanja. Zadana vrijednost je SHA1. |
| Postavite LNG scroll lozinku | Ova opcija vam omogućava da odredite broj puta da okrenete (prefrazirate) lozinku. Zadana vrijednost je 100000. |
| Odredite LNG algoritam za generiranje slučajnih brojeva | Ova opcija vam omogućava da konfigurirate LNG generator slučajnih brojeva za korištenje. Podrazumevano je RNG (generator slučajnih brojeva). |
| Odredite dužinu LNG soli | Ovaj parametar vam omogućava da odredite broj bajtova soli koji treba da se koristi. Zadana vrijednost je 16. |
Pored CNG postavki koje su navedene u prethodnoj tabeli, CNG postavka koja je navedena u sljedećoj tabeli može se konfigurirati na Excel 2010, PowerPoint 2010 i Word 2010.
Možete koristiti opcije navedene u sljedećoj tabeli da uklonite mogućnost dodavanja lozinki u dokumente i na taj način spriječite šifriranje dokumenata.
Kompatibilnost sa prethodnim verzijama sistema Office
Ako imate Office dokumente za šifriranje, preporučujemo da dokumente spremite kao datoteke Open XML formata (.docx, .xlsx, .pptx, itd.) umjesto Office 97-2003 formata (.doc, .xls, .ppt i tako dalje) . Enkripcija koja se koristi za binarne dokumente (.doc, .xls, .ppt) koristi RC4. Ovo se ne preporučuje, kao što je navedeno u odeljcima 4.3.2 i 4.3.3, zbog bezbednosnih razloga specifikacije strukture kriptografije Office dokumenta. Dokumenti sačuvani u starim binarnim datotekama Office formati može se šifrirati samo pomoću RC4 radi održavanja kompatibilnosti s ranijim verzijama Microsoft Officea. AES je preporučeni i podrazumevani algoritam za šifrovanje datoteka Open XML formata.
Office 2010 i 2007 Office sistem vam omogućavaju da sačuvate dokumente u otvorenom formatu XML datoteke. Osim toga, ako imate Microsoft Office XP ili Office 2003, možete koristiti paket kompatibilnosti za spremanje dokumenata kao Open XML datoteka.
Dokumenti koji su sačuvani kao Open XML fajlovi i šifrovani sa koristeći Office 2010 mogu da čitaju samo Office 2010, Office 2007 Service Pack 2 i Office 2003 sa Office 2007 Service Pack 2 Compatibility Pack prethodne verzije Office, možete kreirati ključ registratora (ako ne postoji) pod HKCU\Software\Microsoft\Office\14.0\
Ako vaša organizacija koristi Microsoft Office paket kompatibilnosti za Word, Excel i PowerPoint formate datoteka za šifriranje datoteka Open XML formata, trebali biste uzeti u obzir sljedeće informacije:
- Prema zadanim postavkama, Compatibility Pack koristi sljedeće postavke za šifriranje datoteka Open XML formata:
- ProdužetakMicrosoftRSAIAESkripto provajder (prototip),AES 128,128 (na Windows XP Professional operativnom sistemu).
- ProdužetakMicrosoftRSAIAESprovajder usluga šifriranjaAES 128,128 (u operacionim salama Windows sistemi Server 2003 i Windows Vista).
- Korisnici nisu obaviješteni da paket kompatibilnosti koristi ove opcije šifriranja.
- Grafičko korisničko sučelje u ranijem Office verzije može prikazati netačne opcije šifriranja za Open XML formate datoteka ako je instaliran Compatibility Pack.
- Korisnici ne mogu koristiti GUI u starijim verzijama Officea za promjenu postavki šifriranja za Open XML formate datoteka.
3 odgovora
može li neko dobiti prave podatke ili nešto učiniti ako je poznat algoritam šifriranja
Ako napadač zna algoritam šifriranja, on se pokreće jer sada sve što treba da urade je da otkriju koji ključ je korišten za šifriranje. Ali uspostavljeni algoritmi šifriranja kao što je AES nemaju poznatih slabosti. Dakle, napadač će ga nasilno koristiti za pristup podacima.
Ako koristite ključeve odgovarajuće veličine (npr. AES 256 bita ili veći), to će biti vrlo težak zadatak. DES takođe nema poznatih slabosti, ali njegova mala veličina ključa (56 bita) omogućava da se napad grubom silom izvede u razumnom vremenskom periodu (npr.: dani). Zbog toga se DES više ne koristi.
čak i ako haker ne zna za privatne ključeve, javni ključ ili PV?
Imajte na umu da su javni ključevi primjenjivi samo u kontekstu asimetrične enkripcije. U ovom slučaju javni ključ je obično javan (otuda naziv "javni ključ"). Ali asimetrična enkripcija je dizajnirana tako da čak i ako znate javni ključ, ne možete ga dešifrirati osim ako nemate privatni ključ.
Stoga su algoritmi za šifriranje poput AES-a izdržali test vremena i dokazano su prilično sigurni. Kao što David Schwartz ističe u svom odgovoru, ako imate problem, (obično) je kriva vaša implementacija, a ne algoritam šifriranja.
Gotovo po definiciji, ako je šifriranje pravilno implementirano i dio je razumno dizajniranog sistema, br. Ovo je cijela poenta enkripcije.
Imajte na umu da šifriranje nije magija. Mora se koristiti precizno kako bi se pružila korisna zaštita. Postoji mnogo načina da ovo učinite pogrešno.
Osim ako ne koristite proizvod s velikim poštovanjem (kao što je TrueCrypt, Firefox ili GPG) i koristite ga tačno onako kako je predviđeno da se koristi, postoji velika šansa da nećete dobiti nikakvu pravu sigurnost. Na primjer, Dropbox je koristio AES, ali je sigurnosni propust u drugom dijelu njihovog sistema omogućio jednom korisniku da dešifruje druge korisničke podatke. Dakle, nije pomoglo ni to što je šifriran.
Da, čuvanje tajnosti algoritma malo pomaže sigurnosti. Ako napadač zna da ste koristili DES (koji nije strašno teško razbiti), veća je vjerovatnoća da će ga pokušati razbiti.
Mislim da su srž vašeg pitanja statistički napadi koji pokušavaju da proniknu kroz enkripciju kako bi dešifrovali prirodu podataka. Svaki razumno moderan algoritam je matematički dizajniran da osujeti svaki pokušaj da se pogodi o čemu se radi.
Međutim, David to čini vrlo dobra poenta. Čak i savršena enkripcija (da postoji) bila bi osjetljiva na ljudske greške. Ovi algoritmi su beskorisni osim ako se ne odreknete sebe i ne prekršite svoje t-ove, i imate apsolutnu (i opravdanu) vjeru u one koji mogu dešifrirati podatke.