Актуальность вопросов тестирования безопасности и защищённости программных продуктов

ФЕДЕРАЛЬНОЕ АГЕНТСТВО ПО ОБРАЗОВАНИЮ

ГОСУДАРСТВЕННОЕ ОБРАЗОВАТЕЛЬНОЕ УЧРЕЖДЕНИЕ ВЫСШЕГО ПРОФЕССИОНАЛЬНОГО ОБРАЗОВАНИЯ

ВЯТСКИЙ  ГОСУДАРСТВЕННЫЙ  УНИВЕРСИТЕТ

Факультет автоматики и вычислительной техники

    Кафедра автоматики и телемеханики 
 
 
 
 
 
 
 

    Реферат

«Актуальность вопросов тестирования безопасности и защищённости программных продуктов»

 
 

    по  дисциплине

    “Надежность информационных систем” 
 
 
 
 
 
 
 
 

    Выполнил  студент группы ИСУ-42:  Милютин  С.В.

    Проверил: Вахрушев В.Ю. 
 
 
 
 
 
 
 
 
 
 

    Киров  2009

Введение

       Очень часто современные программные продукты (ПП) разрабатываются в сжатые сроки и при ограниченных бюджетах проектов. Программирование сегодня перешло из разряда искусства, став при этом ремеслом для многих миллионов специалистов. Но, к сожалению, в такой спешке разработчики зачастую игнорирует необходимость обеспечения информационной безопасности и защищённости своих продуктов, подвергая тем самым пользователей своих продуктов неоправданному риску.

       Приходится  признавать, что, например, системы  Интернет-платежей для виртуальных магазинов, как правило, разрабатываются для каждого магазина отдельно, практически «с нуля», используя технические средства без учёта степени их защищённости. В результате не удивительным становится такое количество сообщений о различных видах Интернет-мошенничества. Разработкой подобных критичных систем занимаются программисты, возможно прекрасно знающие языки и методы программирования, но не имеющие достаточных как практических, так и теоретических знаний в области информационной безопасности. У программистов нет времени для мониторинга новых уязвимостей используемых технологий, — у них есть задачи, и есть сроки для их выполнения.

       Пример: переквалификация программистов.

       В начале 2002 года работа более 8,5 тыс. разработчиков Microsoft оказалась под жестким контролем, поскольку в это время проводилась тщательная проверка миллионов строк кода Windows с точки зрения их безопасности. Все инженеры подразделения Windows и несколько тысяч инженеров из других подразделений проходили специальную программу обучения по созданию безопасного программного обеспечения. Планировалось, что такая остановка в работе продлиться 30 дней. Фактически она заняла в 2 раза больше времени и обошлась корпорации Microsoft в 100 млн. долл.

       Подвергая пользователей неоправданному риску, разработчик ПП, обычно не забывает в своих лицензионных соглашениях снять с себя всякую ответственность за причинённый ущерб пользователю или недополученную им прибыль.

       Возникает вопрос: зачем разработчику беспокоиться по поводу защищённости и безопасности своих программ?

       Во-первых, существует ряд категорий информации и сведений, защита которых требуется  национальными нормативно-правовыми  актами страны, где ПП разрабатывается  или используется. Практически каждая страна имеет такие категории  защищаемой информации (тайны), как: государственная, банковская, личная, коммерческая и т.д.

       Пример: утечка закрытых баз данных.

       В начале 2003 г. в средствах массовой информации широко освещался скандал  с раскрытием базы данных одного из крупнейших операторов сотовой связи ОАО «Мобильные ТелеСистемы» (МТС). Информация о более чем 3,5 миллионах клиентов компании, включая домашние адреса, телефоны и прошедшие платежи, продавалась на компакт-дисках. Эта история привлекла внимание средств массовой информации. Впоследствии база МТС распространялась и через Интернет.

       В марте 2005 года стало известно, что  в руки компьютерных пиратов попала база данных по банковским проводкам  с апреля 2003 г. по сентябрь 2004 г, которая  содержит всю информацию по проводкам: реквизиты плательщика и получателя, их банков и назначение платежа.

       Примечание. К сожалению, в вопросах регулирования отношений между разработчиками и пользователями ПП необходимо признать наличие большого числа «подводных камней». Например, правовой статус баз персональных данных в РФ остаётся неопределенным. Наличие в Конституции РФ гарантии неприкосновенности частной жизни и принцип прямого действия самой Конституции правоохранительные органы, как правило, считают недостаточными для возбуждения уголовного дела. В результате — недостатки национального законодательства, а также отсутствие соответствующей судебной практики, пока не позволяют потребителям информационных технологий эффективно использовать законы и нормы права для защиты своих интересов. Именно поэтому пользователи ПП предпочтут потратить дополнительные средства на покупку более защищённого и безопасного решения, нежели полагаться на защиту своих интересов в судах.

       Во-вторых, сегодняшний пользователь весьма образован  и имеет высокие требования при  выборе ПП, которые он использует в своей работе. В случае наличия выбора между решениями нескольких разработчиков, пользователь, несомненно, учтёт также и степень безопасности и защищённости того или иного ПП.

       Пример: угроза потери доли рынка.

       В сентябре 2001-года John Pescatore , эксперт в области Интернет-безопасности компании Gartner, ведущей консалтинговой компании в области информационных технологий, рекомендовал компаниям и организациям, которые пострадали от вирусов Red Code и Nimda, немедленно отказаться от использования Microsoft Internet Information Server. Подобные рекомендации не могли не сказаться на популярности Веб-серверов на рынке. Следует признать, что последующие версии Веб-сервера компании Microsoft , выходили с возросшим вниманием к вопросам обеспечения информационной безопасности.

       В-третьих, защищённый и безопасный ПП необходим  самому разработчику. Защищённый ПП защищает интересы не только пользователя, но и  разработчика (право продажи и  распространения ПП и т.д.). Так, например, если ПП представляет собой мультимедийную электронную энциклопедию, то защита содержимого этой энциклопедии позволяет разработчику иметь уверенность, что в ближайшее время на рынке не появится электронных энциклопедий сторонних фирм, дублирующих содержание его собственной разработки. Аналогично, функции защиты от копирования ПП позволяют разработчику снизить величину ущерба, который приносят ему «пиратские» копии ПП.

       Пример: масштаб пиратского рынка.

       В паре разработчик ПП — пользователь ПП зачастую наиболее уязвимым является именно разработчик ПП. Так по данным компании IDC в 2004-ом году в среднем доля пиратского программного обеспечения в глобальном масштабе составляет 36%, то есть, грубо говоря, каждые четыре из десяти копий программы оказываются в каком-то смысле украденными у производителя и лишают его прибыли. Торгово-промышленная палата РФ в 2002-ом году отмечает, что в среднем на каждой третьей машине в РФ установлено нелицензионного программного обеспечения более чем на 1000 у.е.

       Такая беззащитность производителя ПП не удивительна. Злоумышленники («пираты») имеют более выгодное положение в том смысле что, обладая копией ПП (возможно ограниченной demo или evaluation версией), защиту которого они собираются взломать, — они без ограничений могут применять самые различные средства и методы анализа алгоритмов и механизмов защиты ПП. В данном случае ПП находится под полным контролем злоумышленников: все обращения ПП к файлам данных, к сетевым интерфейсам, а также к произвольным функциям системных библиотек ОС могут быть обнаружены, идентифицированы и запротоколированы различными средствами мониторинга активности процессов операционной системы. Сама программа может быть дизассемблирована или же запущена под отладчиком и т.д. Злоумышленники могут анализировать не только сами файлы ПП, но также логику работы программы, состояние оперативной памяти ПП во время его работы и т.д. Достаточно полный обзор методов и средств «взлома» компьютерных программ может быть найден в работе.

       В тоже время разработчик ПП практически  не имеет средств контроля над своим ПП, после его распространения (публикации) в сети Интернет. Однако недостатки механизмов защиты прошлых версий ПП должны дать пищу для размышлений при разработке последующих версий ПП.

       Следует отметить также тот факт, что нелегальные пользователи объединяются в сообщества и создают серьёзные сервисы по распространению нелегального ПО (wares -сайты, P2P -сети и т.д.), которые, ко всему прочему, пользуются большой популярностью у других потенциально-легальных пользователей.  

Проблема защищённости и безопасности программных продуктов 

       Приведём  определения для основных понятий, которые будут использоваться в  статье.

       Программный продукт — множество компьютерных программ, процедур вместе с соответствующей документацией и данными (Международный стандарт ISO / IEC 14598-1-6:1998-2001 «Software engineering — Product evaluation» ).

       Программа — данные, предназначенные для управления конкретными компонентами системы обработки информации в целях реализации определенного алгоритма (ГОСТ 19781-90 «Программное обеспечение систем обработки информации. Термины и определения»).

       Защищенность ПП — способность противодействовать несанкционированному вмешательству в нормальный процесс его функционирования, а также попыткам хищения, незаконной модификации, использования, копирования или разрушения самого ПП, его составляющих, данных и информации, входящих в состав ПП, доступных ему в процессе выполнения или заложенных в него во время разработки.

       Безопасность ПП — способность ПП достигать приемлемого уровня риска для здоровья и наследственности людей, их бизнеса, компьютерных систем (в том числе, находящимся в них данным и программного обеспечения), имущества или окружающей среды в отсутствие нарушений законов и норм права при данном способе (контексте) применения.

       Основные  категории субъектов, заинтересованных в разработке, эксплуатации и распространении  программного продукта.

       Рассмотрим  следующие категории лиц:

• разработчики ПП;
• пользователи ПП (авторизованные и неавторизованные);
• прочие лица;

       Под авторизованными пользователями ПП следует понимать пользователей, которые:

• имеют право на использование ПП (являются легальными пользователями), т.е. те пользователи, которые приобрели необходимую программную лицензию, либо получили разрешение от разработчика (обладателя авторского права на ПП или его представителя) на использование, тиражирование, продажу, модификацию ПП (в зависимости от сути лицензии или разрешения);
• имеют непосредственный доступ к самому ПП или его функциям, т.е. авторизованы функциями разграничения доступа в КС (функциями самого ПП или используемых технологий: операционной системы, файловой системы, системы управления базами данных и т.д.).

       Первое  требование запрещает нелегальным  пользователям как бы то ни было использовать ПП (защита интересов разработчика ПП). Второе требование защищает интересы легальных пользователей при их совместном использовании ПП (разграничение доступа пользователей к функциям и данным ПП, а также к данным других пользователей).

       При этом следует отметить, что разработчик (владелец) ПП стремится автоматизировать функции легализации пользователей и реализует их в самом ПП. Для этого используются различного рода серийные ключи, программно-аппаратные ключи, активационные коды и т.д. 

Источники проблем информационной безопасности программных продуктов 

       Источниками проблем информационной безопасности в программных продуктах могут  быть названы:

       1. Конфликт интересов между разработчиком  ПП и его пользователями.

       Интересы  разработчика — максимизация прибыли  от продажи разработанного ПП, минимизация усилий при разработке ПП, обеспечения гарантий своего бизнеса. Интересы пользователей — минимизация расходов и максимизация эффекта от использования ПП разработчика, а также обеспечение гарантий своего бизнеса. В результате, в области эксплуатации ПП появляются различного рода угрозы, как со стороны производителя ПП, так и со стороны пользователя. Со стороны разработчика:

• неумышленное внесение ошибок при разработке ПП, ведущих к нарушению свойств безопасности данных пользователей ПП;
• умышленное внесение программных «закладок», способных нанести ущерб пользователю (компьютерный саботаж, а также мониторинг предпочтений пользователя, сбор информации личного характера – spyware-модули);