NIST поможет американским госведомствам правильно использовать "облачные" технологии

Соответствующие цели преследует доклад Национального института технологий и стандартизации США, вышедший в свет 2 февраля текущего года. Согласно документу, одними из основных задач, которые необходимо решать при использовании "облачных" технологий, являются обеспечение надлежащей безопасности и управление рисками.



Доклад под названием "Руководство по обеспечению безопасности и конфиденциальности при использовании общедоступных "облачных" вычислений" был подготовлен институтом по запросу федерального инфокомиссара Вивека Кандры. С помощью этого документа г-н Кандра намерен ускорить процесс перехода правительственных учреждений к широкому использованию cloud-технологий: доклад NIST, в сущности, представляет собой набор стандартов и директив, которыми те или иные ведомства могут руководствоваться при переводе приложений и данных в "облако".


В документе, в частности, утверждается, что "сочетание легкодоступности "облачных" сервисов и отсутствия организационных мер контроля деятельности работников, пользующихся подобными службами в произвольном порядке, может создавать серьезные проблемы". По мнению авторов, "без надлежащего управления вычислительная инфраструктура организации может превратиться в нестабильное и неуправляемое смешение уязвимых сервисов". 


Разработчики документа постарались подробно проанализировать наиболее существенные вопросы и проблемы безопасности и конфиденциальности информации, обрабатываемой в "облаке". К примеру, в докладе освещен ряд моментов, связанных с локализацией информации: часто поставщик услуг не может или не желает предоставить клиенту точную информацию о том, где именно хранятся и обрабатываются его данные - а, следовательно, организация не располагает возможностью определить, установлены ли необходимые контуры защиты сведений и выполнены ли поставщиком требования, предъявляемые к системе защиты информации различными нормативными актами.


Ставит NIST и иные вопросы - например, об ответственности поставщика услуг за вверенные ему сведения (что имеет особое значение для государственных ведомств), об утрате непосредственного контроля над многими аспектами безопасности и необходимости оказания "беспрецедентного" доверия оператору "облака", об обострении инсайдерской угрозы, о проблематичности установления владельца информации, об усложнении процессов оценки и управления рисками и т.д.


Авторы документа призывают обратить особое внимание на архитектуру "облачной" системы, на поддержку оператором механизмов авторизации и аутентификации, а также на комплекс мер по обеспечению безопасности серверов и хранящихся там данных, которые принимает поставщик услуг делегированных вычислений. При этом подчеркивается, что все подобные вопросы должны быть рассмотрены и обработаны еще на стадии планирования, а не после того, как приложения и данные уже портированы в "облако".


Не менее важны и юридические аспекты. Операторы часто не имеют никакого представления о том, каковы требования к безопасности и конфиденциальности, принятые отдельными организациями-клиентами; в силу этого те или иные ведомства могут обнаружить, что предлагаемые "облачным" поставщиком условия обслуживания им попросту не подходят. В таких случаях NIST рекомендует инициировать переговоры с оператором в целях заключения дополнительных соглашений - например, по типу стандартного договора на делегирование выполняемых работ.


Ознакомиться с оригиналом документа можно здесь.

" />

Anti-Malware Яндекс ДзенПодписывайтесь на канал "Anti-Malware" в Яндекс Дзен, чтобы первыми узнавать о новостях и наших эксклюзивных материалах по информационной безопасности.

Квантовые хакеры могут украсть ключи в защищенных линиях связи

Протокол квантовой криптографии в концепции фазово-временного кодирования содержит ошибки, выяснил российский математик Дмитрий Кронберг. Уязвимость позволяет "квантовым хакерам" незаметно считывать данные, имитируя затухание сигнала в канале связи.

На работу отечественного ученого обратила внимание Наука-ТАСС. Описание стратегии взлома опубликовано в журнале "Теоретическая и математическая физика".

"Обоснование стойкости этого протокола было проведено с ошибками, — говорится в исследовании. — Нами приведена конкретная простая атака, демонстрирующая завышение скорости генерации ключа, это означает, что часть ключа может быть известна перехватчику”.

Более того, ученый считает, что при определенном наборе параметров атаки перехватчик будет знать весь ключ, в то время как легитимные пользователи будут пребывать в уверенности, что информация полностью секретна.

За последние 20 лет ученые и инженеры разработали множество защищенных линий связи, построенных на базе квантовых технологий. В теории их невозможно взломать или подслушать: любая попытка считать данные из защищенной линии связи нарушит квантовое состояние частиц, используемых для передачи информации, и тем самым выдаст "квантового хакера".

Проблема в том, что уже существующие линии квантовой связи не совсем идеально реализуют те принципы, на базе которых они построены.

10 лет назад российский "квантовый хакер" Вадим Макаров и его коллеги из зарубежных университетов уже доказали на практике, что применяемые в таких системах излучатели и приемники квантового сигнала можно "ослепить" при помощи мощного лазера.

Это приведет их в неквантовый режим работы и сделает информацию уязвимой для незаметного считывания.

Исследования проводились в рамках сотрудничества с ведущим производителем ID Quantique. Метод перехвата работал. Тогда же сообщалось, что ID Quantique вместе с учеными разработал и протестировал меры противодействия.

Теперь Дмитрий Кронберг, старший научный сотрудник Математического института РАН в Москве, выяснил, что линии связи, работающие на базе протокола квантовой криптографии с фазово-временным кодированием, можно взломать при помощи приемов, имитирующих естественное затухание сигнала.

Этот подход для организации квантовой связи использует в своей работе три временных "окна", которые определяют, как получатель защищенного сигнала должен считывать одиночные фотоны при их поступлении от другого абонента в квантовой сети. Появление определенного типа ошибок в процессе считывания состояний этих частиц в теории должно указывать на то, что сигнал кто-то пытается "подслушать".

Кронберг обнаружил, что подход содержит ошибки, позволяющие считывать информацию при помощи атак, которые блокируют около четверти фотонов и тем самым имитируют естественное затухание сигнала в канале, по которому передаются эти частицы.

При некоторых обстоятельствах, отмечает математик, такая атака позволяет "квантовому хакеру" считать весь передаваемый ключ незаметно для легитимных абонентов квантовой сети.

Расчеты Кронберга показывают, что можно атаковать даже очень короткие линии связи, не подверженные сильному затуханию сигнала. Математик надеется, что результаты его исследования помогут улучшить протокол, а его новые версии будут лучше защищены от взлома.

Anti-Malware Яндекс ДзенПодписывайтесь на канал "Anti-Malware" в Яндекс Дзен, чтобы первыми узнавать о новостях и наших эксклюзивных материалах по информационной безопасности.

RSS: Новости на портале Anti-Malware.ru