Da Li Ste Sigurni Da Ste Bezbedni

Boško Rodić Goran Đorđević

DA LI STE SIGURNI DA STE BEZBEDNI

dr Boško Rodić mr Goran Đorđević Lektor Ljiljana Čolović

PROLOG Nakon dužeg niza godina ''posta'' i neobjavljivanja knjiga iz oblasti bezbednosti informacionih sistema (IS), na našem jeziku, ova knjiga treba da premosti taj jaz i istovremeno obradi problem osnova bezbednosti IS u novom ambijentu obeleženom masovnom upotrebom računara sa nekada neslućenim mogućnostima u memorijskim kapacitetima, brzini i komforu rada, računarskim mrežama, nesagledivom gamom softvera, bazama podataka, kao i nesagledivim količinama podataka u njima. Zašto su važne ''osnove''? Zato što upuštanje u sofisticirane aspekte bezbednosti IS može da ima za posledicu neaktuelnosti i/ili nedorečenosti i/ili kratkotrajnosti. Samo ''osnove'' mogu da budu trajne, uvek aktuelne i dorečene. Dobre osnove, kao temelj, daju garancije za dobru (novu) nadgradnju. Osnove su važne i zbog toga jer bi svako šire upuštanje u materiju, koja je ovde obrađena, odvela nas do u – beskonačnost. Namera i autora i izdavača jeste da ubuduće obezbede izdanja koja bi, šire, posebno obrađivala određene faktore bezbednosti IS. Svesni smo da smo samo otkrili vrh ledenog brega. Ova knjiga je posvećena širokom krugu čitalaca, pre svega menadžmentu u poslovnim sistemima, korisnicima informacionih sistema, izvršiocima u informacionim sistemima (projektantima, programerima, administratorima, operaterima) pa i specijalistima koji se bave opštom bezbednošću poslovnih pa i informacionih sistema. Posle ove knjige, zbog složenosti pojedinih oblasti (faktora) zaštite informacionih sistema, sledi edicija knjiga o svakom faktoru posebno. Podrazumeva se da će i ova kao i druge posebne knjige vremenom trpeti promene u skladu sa evolucijom u realnom sistemu i svakako u skladu sa novim saznanjima autora. Problem bezbednosti IS je širok, multidisciplinaran, što je jedna karakteristika ove knjige. Ograničen prostor otvara mogućnosti za površnost i uopštavanje. Druga karakteristika je veća posvećenost čoveku kao osnovnom činiocu bezbednosti, čemu je, čini se, u drugim izdanjima malo pažnje pridavano. Konačno, treća karakteristika je orijentacija knjige na njenu praktičnu primenu. Zbog toga je, možda, najvrednija i najvažnija Glava 9. ''Verifikacija bezbednosti informacionog sistema'', gde se verifikuje, proverava bezbednost informacionog sistema, i što je još važnije, vrši se funkcija prevencije u skupu mera zaštite IS. Odmah na početku, moramo da se saglasimo oko stava da apsolutne bezbednosti (IS) nema. Ona postoji samo za one sisteme koji ne postoje, tada rasprava o ovom pitanju postaje besmislena. Prema tome, cilj sistema bezbednosti treba da bude postojanje visokoraspoloživih odnosno visokopouzdanih informacionih sistema (IS). Međutim, već sama reč raspoloživost upućuje i na visoku performantnost IS. S jedne strane, najveću bezbednost ima onaj sistem koji ništa ne radi (oborene su mu performanse), ako i ne radi, on nije apsolutno bezbedan, jer je izložen (nasilnim) promenama od spolja. S druge strane, sistem bezbednosti košta, i to ponekad nepredvidivo mnogo. Otuda se u trouglu bezbednost, raspoloživost i cena sistema kreće i njegova efikasnost. Ova knjiga ne daje sve konačne odgovore, to ne može niko. Ali, ako ste postali zabrinuti i sumnjičavi, ali ne i paranoidni, to je već uspeh! 1

Knjiga ima (izuzev bibliografije i zaključka) devet glava. Na početku se otvara problem bezbednosti IS kroz značaj informacije, informacionih i posebno automatizovanih informacionih sistema. Preko klasifikacije mogućih načina ugrožavanja informacionih sistema gradi se sistem bezbednosti IS i, konačno, taj se sistem na kraju verifikuje. Posebno je na temelju iskustava Ratne mornarice SAD obrađena, u Glavi 7, bezbednost na Internetu. Većina sadržaja iz ove knjige su osnova za predavanja na poslediplomskim i specijalističkim studijama na Fakultetu za poslovnu informatiku u Beogradu iz oblasti ''Bezbednost informacionih sistema i elektronskog poslovanja'' Glavu 6. i tačku 5.9. napisao je Goran Đorđević, a ostalo Boško Rodić. Zahvaljujemo svima koji su doprineli kvalitetu ove knjige a posebno izdavaču što je imao smelosti da sarađuje na ovom delu. Autori

2

1.BEZBEDNOST, POJAM Osnovni sadržaji ove knjige jesu bezbednost, sigurnost i zaštita, (posebno) informacionih sistema. U kontekstu dobre komunikologije, razdvajanja termina prema sadržajima pojmova koje predstavljaju, neophodno je na početku definisati te pojmove. To pitanje je, pre svega, lingvističko-semantičko-pravnog, ali i tehnološkog karaktera. Naime, u svakodnevnom životu stručnjaci ta tri termina često koriste "ruku pod ruku" smatrajući ih sinonimima, iako je njihovo značenje različito. U suštini, oni imaju istu konvergentnost krajnjeg cilja da garantuju nedegradirano funkcionisanje sistema.1 Bezbednost (engl. security, rus. безопасность, nem. sicherheit) je stanje sistema u odnosu na okolinu ali i na samog sebe. Bezbednost [Pra70] (javna) je stanje u kome su isključeni protivpravni akti, naročito oni uz upotrebu fizičke sile... ili ukoliko ovakvi akti i postoje, oni su vrlo retki i protiv njih se preduzimaju energične efikasne sankcije. Nasuprot ovome (javne, u originalu), bezbednosti nema gde su ovakvi akti česti, odnosno gde se oni ne sankcionišu. Takođe, bezbednost u odnosu na suštinu i stvarno značenje može se definisati kao stanje, organizacija i funkcija. Bezbednost kao stanje obično predstavlja zaštićenost nekog dobra, vrednosti, tekovine, društva. Prema [Mat76], bezbednost je stanje onog koji je bezbedan, onog što je bezbedno. Takođe, bezbedan je onaj koji je osiguran od opasnosti, zaštićen. Sigurnost, prema [Mat76], je stanje, osobina onoga koji je siguran, onoga što je sigurno, u kome nekome ili nečemu ne preti opasnost, odsutnost opasnosti, bezbednost. Prema tome, u kontekstu stanja sistema prihvatimo da sigurnost ima isto značenje kao i bezbednost. Zaključujemo da se, s jedne strane, govori o sinonimima. U zapadnoj varijanti srpskohrvatskog jezika, sada hrvatskog jezika, reč sigurnost upravo označava bezbednost u smislu: javna sigurnost (bezbednost), državna sigurnost (bezbednost). Osim toga, engl. – reliable, dependable, trustworthy, rus. – siguran − верный, надежный, достоверный, nem. – sigurnost − gewi'sheit − izvesnost. Prema tome, sigurnost u kontekstu na primer gewi'sheit − izvesnost(i). "Siguran sam, izvesno je da sam siguran (bezbedan)", može da se tumači kao stav, ubeđenje. Prilog sigurno, prema [Mat76], značio bi sa najvećim pouzdanjem, stalno bez prekida, čvrsto, odlučno, bez kolebanja itd. Zaštita – engl. protection (ali i odbrana), rus. – защита, оборона, охрана, nem. – abwehr (ali i schutz) – odbrana, zaštita. Zaštita (bilja u originalu) [Pra70] sastoji se u preduzimanju mera za sprečavanje. Zaštita, prema [Mat76], zaklanjanje od neprijatnosti, teškoća i opasnosti, čuvanje, uzimanje u odbranu, odbrana, organizacija za odbranu. Prema tome, zaštita je skup mera (postupaka) koje imaju za cilj određeni (viši) nivo bezbednosti. Bezbednost se ostvaruje zaštitnim (zaštitom) merama: preventivnim i represivnim (sanacionim) merama, ili, sistem je (više ili manje) bezbedan u zavisnosti od primene zaštitnih mera. Bezbedan sistem (je uslov) "osigurava" siguran sistem. Dovodeći u 1

IS sa mainframe računarima dostižu "četiri devetke" ili "pet devetki" efektivnog rada: 99,99 ili 99,999%. Ovo znači 5 do 53 minuta ''oborenog'' sistema godišnje. IBM-ov Server Group tvrdi da je predviđeno vreme između kritičnih grešaka (MTBCF – Mean Time Betveen Critical Failure) za njihov System/390 mainframe – prosečno vreme između grešaka koje prinude sistem na reboot i učitavanje inicijalnih programa 20 do 30 godina.

3

(funkcionalnu) zavisnost ova dva pojma, otvorili smo široko polje zaštita-bezbednost koji treba da garantuju sigurno (pouzdano) funkcionisanje sistema. Prema tome, bezbednost – b je u funkcionalnoj zavisnosti od zaštite – z.

b = f (z ) (i). Ali, kako zaštita zavisi od intenziteta – i, ili kvaliteta – k, ili raznovrsnosti (zaštitnih) – r mera, sledi da je bezbednost funkcija: b = f (i ( z ) + k ( z ) + r ( z ))

(ii).

Atributi zaštite (i, k i r) su u konjunktivnoj vezi. Logičan zaključak bi bio da će sistem imati viši bezbednosni nivo ako je veća unija atributa zaštite, odnosno što je konzistentnija zaštita. Često se za ovakve slučajeve kaže da je zaštita "jaka" koliko je "jaka" najslabija karika u lancu zaštite.

4

2. BEZBEDNOST IS U vezi sa pojmom informacije postoji više definicija. Prema [Vin73] informacija postoji između čoveka i čoveka, čoveka i mašine, mašine i čoveka, ali i između mašine i mašine. Prema Georgu Klausu (Kibernetika i filosofija, 1963), informacija postoji samo u relaciji čovek–čovek, ljudi su tvorci i nosioci informacija. Ipak, kibernetski pristup (Vinerov) širi je i prihvatljiviji pa bi informacija bila slanje, prenošenje i primanje podataka ili opštenje pomoću znakova između čoveka i čoveka, čoveka i mašine, mašine i čoveka i mašine i mašine. U širem smislu, može se prihvatiti da je informacija svaki uticaj bilo kog sistema S1 na bilo koji drugi sistem S2.

2.1. Informacija – pojam U literaturi, u vezi sa informacijom, mogu se naći još i sledeće definicije: — informacija je opis jednog svojstva koje određeni entitet poseduje u nekom trenutku ili vremenskom periodu — informacija je novost koja povećava znanje – inkrement povećanja znanja — informacija je verovatnoća da se sistem nalazi u nekom od mogućih stanja i — informacija je i obaveštenje, smanjenje neizvesnosti, ali i sadržaj i značenje poruke. Informacija o ishodu eksperimenta sasvim poništava, anulira, neizvesnost – entropiju. Ona je kvantitativno jednaka entropiji kojom je sistem bio okarakterisan pre dolaska informacije. Stoga se nekad informacija naziva negentropija (Claude Shannon, 1949). Mora se, takođe, imati u vidu da je ključni koncept savremenog društva upravljanje znanjem. Nisu više ni roba ni rad osnovni ekonomski resursi već je to znanje, a u osnovi znanja je informacija. Značaj informacionog sistema za poslovni sistem objasnićemo na primeru ciklusa upravljanja. Neka je Tr – kritično vreme koje stoji na raspolaganju menadžmentu posle koga realizovani ciklus upravljanja gubi smisao (sa moguće teškim posledicama što zavisi od konkretne situacije). I neka je Tu – ukupno vreme trajanja ciklusa upravljanja. Tu = Tpr + Tpren + Tprij + Tobr + Tk, gde su: — Tpr – vreme neophodno za predaju informacije. Prilikom predaje informacije može da bude više procesa, na primer: konverzija informacije sa jednog medija (papir) na drugi (električni, svetlosni, radio, TV, signal), konverzija signala iz digitalnog u analogni, konverzija signala iz jednog kodnog sistema (EBCIDIC) u (ASCII), kriptovanje signala itd. — Tpren – vreme potrebno za prenos. Ono zavisi od propusne moći (kvaliteta) spojnog puta — Tprij – vreme potrebno za prijem signala. Analogno predaji na prijemu se sprovode odgovarajući (suprotni) procesi

5

— Tobr – vreme potrebno za obradu. Obrada može biti ''ručna'', automatizovana i automatska sa ili bez mogućnosti sugerisanja rešenja (odluke) i — Tk – vreme potrebno za realizaciju procene i donošenje odluke. Ako je Tr vreme koje stoji na raspolaganju menadžmentu da donese odluku onda je dobar onaj IS kod koga je: Tr – Tu = ∆T > > 0 gde je ''> >'' – mnogo veće. Prema tome, skraćivanjem vremena Tpr, Tpren, Tprij i Tobr pa i Tk, menadžment će iskoristiti raspoloživo vreme Tr i, ako Tu bude dovoljno kratko, menadžment se dovodi u poziciju, pre svega, informacione superiornosti – raspolaže informacijom pre konkurencije, a raspolaže i ''viškom'' vremena za druge aktivnosti. Prethodna formula nameće potrebu za automatizacijom u upravljanju – procesu donošenja odluke. Cilj upravljačkog podsistema jeste realizacija upravljačkih funkcija. Da bi se upravljačke funkcije realizovale, pre svega, donele kvalifikovane (kvalitetne) odluke, upravljačkom podsistemu neophodne su kvalitetne informacije koje obezbeđuje informacioni podsistem poslovnog sistema, odnosno poslovni informacioni sistem (PIS) ili BIS – Business Information System. Prema tome, cilj PIS-a jeste da povezuje upravljačke i izvršne funkcije tako što formirane informacije na osnovu poslovnih podataka stavlja na raspolaganje upravljačkom podsistemu. Značaj informacija i informisanosti u savremenim uslovima života i rada do te mere je narastao da se ona (informacija) smatra ključnim resursom u svim sferama ljudske delatnosti. Ljudski i materijalni resursi, sami po sebi, ne znače ništa, u smislu uticaja na poslovne sisteme, bez informacija o njima. S druge strane, menadžmenti svih nivoa ne bi mogli donositi nikakve odluke bez informacija potrebnim za upravljanje. Ili, te odluke koje se ne bi bazirale na informacijama mogle bi biti pogubne za poslovni sistem. To što neki društveni sistemi (države) informaciji pridaju značaj do fetišizma, te čak i u teoriju o ratu – oružanoj borbi, uvode i nove pojmove (termine), kao što je informacioni rat (naročito informaciono-ekonomski rat), samo po sebi, ne mora da nas primorava da ih sledimo. Međutim, suština stvari jeste da informacija, shvaćena kao znanje ili kao obaveštenost, ne postoji sama po sebi i ne može da se podrazumeva. Za nju se treba boriti, nju treba braniti! Stoga, jedan od ključnih činilaca u odbrani informacija, jeste i informacija o informaciji. Naime, ako je oružje sredstvo u rukama ljudi, po kome se prepoznaje rat i razlikuje od drugih društvenih pojava, informacija (posebno kao znanje) može biti mnogo jače oružje od oružja samog. Istorijski posmatrano, to je mnogo puta dokazano.

6

2.2. Informacije i poslovni sistem Godine 1815, dve hiljade američkih i britanskih vojnika poubijalo se međusobno u bici kod Nju Orleansa, jer vest o mirovnom sporazumu potpisanom dve nedelje ranije u Briselu nije do njih stigla na vreme [Tof 98]. ''Živeti delotvorno znači biti uvek dobro informisan. Stoga, komunikacije i upravljanje pripadaju biti čovekovog unutrašnjeg života, kao što pripadaju i njegovom životu u društvu.'' [Vin73] Biti dobro informisan znači raspolagati kvalitetnom informacijom, a ovakva informacija dovodi poslovni sistem u poziciju informacione superiornosti u odnosu na konkurenciju. Upravljanje u poslovnim sistemima vrši se na osnovu stečenih informacija o potrebama i mogućnostima ostvarenja nekog cilja poslovnog sistema. Drugim rečima, upravljanje je pretvaranje informacija u odluke. Upravljanje je istovremeno obezbeđivanje uslova za sprovođenje odluka. Na ovom mestu uočavamo potrebu poslovnog sistema za uspostavljanjem sistema za obezbeđenje (kvalitetnih) informacija. Taj sistem se naziva informacioni sistem. Očiglednost značaja informacionog za poslovni sistem leži u njegovom presudnom značaju za poslovni sistem. Da nema informacionog, ne bi bilo ni poslovnog sistema. Razmena informacija unutar poslovnog sistema i poslovnog sistema i okoline jeste uslov njegovog opstanka. Ponderišući, na bilo koji način, resurse (kadrovi, materijalna sredstva – sredstva za rad i predmeti rada, uslovno finansije, prostor i vreme) može da se zaključi da je informacija iznad svih ostalih resursa po značaju za poslovni sistem. Informacioni sistem je neophodan da obezbedi sve relevantne informacije za odlučivanje u svakoj situaciji i svakom trenutku. Nisu samo jednostavni pragmatični razlozi postojanja IS u poslovnom sistemu. IS poslovnom sistemu treba da obezbedi kvalitetne informacije, pre svega tačne i blagovremene (ažurne). Čuvena rečenica ''Ubiti, (ne), poštedeti'', prevedena na polje ekonomije – povezana sa zlatnim bankarskim pravilom: Proveriti, (ne), isplatiti, na najbolji način ilustruje značaj ova dva atributa informacije. Prema tome, IS je presudan u obezbeđenju tačnih (verodostojnih) i blagovremenih informacija za korisnike (poslovni sistem). Međutim, kvalitetne informacije, koje obezbeđuje IS, imaju još i neke druge atribute. Verodostojnost (tačnost). Osobina bez koje informacija i nije prava informacija, a može da se pretvori i u dezinformaciju. Tačnost informacije mogli bismo definisati kao adekvatan izraz stvarnosti koja je predmet informisanja. Međutim, tačnost nije apsolutni, nego relativni izraz stvarnosti, tako da se može govoriti o većem ili manjem stepenu tačnosti, odnosno manjem ili većem stepenu verovatnoće i aproksimativnosti – približne tačnosti. Na relaciji između tih vrednosti, u praksi je negde dopustiv veći, a drugde manji stepen tačnosti informacija. Veći stepen tačnosti informacija biva neposrednom podlogom za donošenje bliskih odluka, odmah izvodljivih, s trenutnom ili kraćom važnošću. I obratno, manji stepen tačnosti dopustiv je u slučajevima zbirnih (agregiranih) informacija koje postaju podlogom za donošenje odluka s dugoročnom važnošću, gde je u toku njihove realizacije moguća korekcija. Proizlazi da 7

je veći stepen tačnosti potrebniji kod taktičkih i operativnih odluka nego kod strateških. Veći je stepen tačnosti potreban u odnosu na podatke sa žiro računa, o stanju kupaca i slično, nego kad se govori o planiranom prihodu, dohotku i drugim elementima, na primer, petogodišnjeg plana itd. Blagovremenost. Aktuelna informacija je došla na vreme korisniku i upravo time se i aktuelizuje. Vreme koje je proteklo od aktuelnog događaja do korisnikovog saznanja o njemu mora da bude što kraće. Aktuelnost. Suština aktuelnosti jeste u skraćivanju vremena od događaja do njegovog saznanja, čime informacija dobija veći stepen važnosti. S obzirom na to da je život sve dinamičniji, promene sve brže i raznolike, to je aktuelizovanje informacije sve neophodnije. To omogućava brže reagovanje na sve elemente i procese poslovanja, pa tako i na njegovu ekonomičnost, a kroz to i ekonomičnost informacija. Za aktuelnost se povezuje i blagovremenost, ali nije s njome istovetna, već je to komplementarna osobina informacija. Pouzdanost informacija u sociološkom i tehničkom smislu, odnosno sprečavanje njihovog iskrivljivanja, traži uspostavljanje odgovarajuće kontrole informacija. U tu svrhu u sistem se ugrađuju određeni kontrolni aparati, bilo neposredno u samim računarima (hardware) ili u samim programima elektronske obrade podataka (software). A i samu organizaciju informacionog sistema moguće je tako postaviti da u sebi uključuje sposobnost otklanjanja eventualnih grešaka. Relevantnost. Informacija je značajna za korisnika i ona ne sadrži nepotrebne činjenice. Potpunost. Sve relevantne činjenice sadržane su u informaciji. Neprekidnost. Informacije treba da pristižu neprekidno i da prate sve nastale promene stanja. Jasnoća. Forma informacije treba da bude jasna, nedvosmislena, razumljiva primaocu. Sažetost. Ovaj zahtev je delimično u suprotnosti sa zahtevom potpunosti, ali u njihovoj ravnoteži leži veština dobrog informisanja. Fleksibilnost. Fleksibilnost informacija i mogućnost njihovog generalizovanja ogleda se u sposobnosti da se udovolji novim informacionim zahtevima. Da bi se to postiglo, treba da postoji mogućnost generalizacije uređaja i programa elektronske obrade podataka. To opet pretpostavlja ugrađivanje dodatnih uređaja i novih, specijalizovanih programa. Objektivnost. U mnogim informacijama ne doznajemo samo stvarno stanje, nego stanje kakvo bi pošiljalac želeo da bude (ili bar određenu deformaciju u tom pravcu), ili stanje za koje pošiljalac pretpostavlja da će biti po volji primaoca. U vezi sa ovim atributom proverava se izvor informacija. Objektivnost je u direktnoj vezi sa tačnošću. ''Ergonomski'' u skladu sa ciljem. Informacija formom i sadržajem može da izaziva prijatne ili neprijatne osećaje kod primaoca. U skladu sa ciljem koji se želi postići kod

8

primaoca, prilagođava se sadržaj i/ili forma informacije. Štaviše, jezik svojom onomatopeičnošću, boje ili zvukovi mogu sami po sebi da izazivaju kod primaoca (animalne ili atavističke) prijatne ili neprijatne osećaje. U posledenje vreme izuzetna pažnja poklanja se ovom aspektu informacije. Čak su razvijene i nove delatnosti, na primer odnosi sa javnošću, sa ciljem da se bave ovim fenomenom. Takozvani Public Relations (PR) menadžeri brinu o tome da se informacije o proizvodu, firmi koju predstavljaju, političkoj grupaciji koju zastupaju, prezentuju na što prijemčiviji način: ''lepa reč i gvozdena vrata otvara''. Tajnost. Informacija kojoj nije zagarantovana tajnost može prouzrokovati više štete nego koristi, jer i pošiljaoca i primaoca može dovesti u vrlo tešku situaciju ako za njih sazna konkurencija, odnosno protivnik. Uspešnost poslovnog sistema direktno zavisi od kvalitetnih informacija o drugim resursima. Osim toga, ukoliko ne bi bilo dovoljno znanja (više ili manje (ne)sređenih informacija) o načinu upotrebe ostalih resursa, sistem bi u krajnjem ''patio'' od entropije i ne bi bio svrsishodan. Kvalitetne (blagovremene, tačne, relevantne, sažete, jednostavne itd) informacije obezbeđuju se i poboljšavaju kroz informacione sisteme (IS) sredstvima informatičke tehnologije (IT). Degradacija IT degradira i kvalitet informacija, te se otuda degradira i IS pa i poslovni sistem.

2.3. Značaj bezbednosti za informacioni sistem Bezbednost informacionog sistema još je značanija ako se ima u vidu njihova primena u specijalnim (organizacionim) sistemima. To su organizacioni sistemi koji su posebno značajni za državu, visokozahtevni u odnosu na pouzdanost funkcionisanja i (podrazumeva se) kritični sa bezbednosnog aspekta. To mogu da budu čak i VIP (Very Important Persons), kao što su vojska, policija, uošte uzev svi subjekti odbrane i bezbednosti države, centralna nacionalna banka, pošta, posebno telekomunikacioni sistem, vodovod, veliki privredni sistemi – elektroprivreda, naročito nuklearne elektrane, svi saobraćajni sistemi, kontrola leta i slično. Značaj IS za obezbeđenje informacija kao strategijskog resursa organizacionih sistema potencira bezbednost kao egzistencijalni atribut IS. S obzirom na potrebu da IS koriste specijalne institucije, njihova otvorenost preko javne računarske mreže još više potencira bezbednosni atribut IS. Valja naglasiti da je bezbednost u direktnoj srazmeri sa značajem objekta ZO i njegove otvorenosti i izloženosti OO. Prema tome, potrebna bezbednost objekta BO u relativnoj meri 0 ÷ 10 bila bi izražena kao funkcija: BO = (ZO ∗ OO)/100. ZO i OO su u rasponu od 0 do 10. Podrazumeva se da teoretski (pa i praktično) postoje granični slučajevi beznačajnih i veoma značajnih objekata, odnosno veoma zatvorenih (neizloženih) do potpuno otvorenih (izloženih) objekata. U okviru međunarodne saradnje u koju svakako ulazi i informatička sfera [Rod01a], podrazumeva se, pre svega, zaštita nacionalnih interesa. To je opravdano i zbog unutrašnjih 9

socijalno-političkih i ekonomskih procesa koji se odvijaju u našoj državi. U tom smislu, dobar je primer ''Doktrina informacione bezbednosti Ruske Federacije'', koju je potpisao predsednik Ruske Federacije Vladimir Putin. Ova doktrina se povezuje sa ''Okinavskom deklaracijom'' donetom 22. jula 2000. godine, na ostrvu Okinavi u Japanu, na sastanku najviših predstavnika grupe ''7+1''. U Deklaraciji se ističe da je informaciono (informatičko)2-komunikaciona tehnologija postala jedan od najvažnijih faktora u razvoju današnjeg društva. Istovremeno, globalna kompjuterizacija, pored brojnih pozitivnih posledica, iznedrila je i problem bezbednosti infomacionih sistema. Tretman ovog problema [Rod01b] u Rusiji prošao je svojevrsnu (tešku) evoluciju. U početku je bio osporavan, pre svega, zbog ''elementarnog nepoznavanja'' problema. U državnim organima problem je razmatran prvi put još 1997. godine. Projekat ozakonjenja problema bezbednosti IS zaokružen je ukazom predsednika Ruske Federacije broj 24. od 10. januara 2000. godine. U Deklaraciji, u osnovi, tretiraju se četiri (pojedostavljeno tumačene, prim. aut) oblasti: — poštovanje konstitutivnih prava i sloboda čoveka u oblasti IS — informaciono (informatičko) obezbeđenje državne politike Ruske Federacije u komunikaciji sa spoljnim svetom, takođe i obezbeđenje građana dostupnim državnim informatičkim resursima i — nacionalni interesi u razvoju savremene informatičke tehnologije, koje su osnova za zaštitu informacionih (informatičkih) resursa od neovlašćenog pristupa, osnova za opštu bezbednost IS, kako otvorenih tako i usko lociranih samo na teritoriji RF. U okviru Saveta bezbednosti Ruske Federacije postoji Odeljenje za upravljanje informacionom bezbednošću. Čuvena DISA (Defense Information Systems Agency) – ogranak NSA, zadužena je za pomoć u komandovanju, upravljanju (kontroli), komunikacijama i u informacionim sistemima predsedniku i potpredsedniku SAD, ministru odbrane i najvišim vojnim komandantima, odeljenjima Ministarstva odbrane (MO) u svim mirnodopskim i ratnim uslovima. DISA je formirana još 12. maja 1960. godine kao agencija za ''odbranu'' komunikacija − Defense Communications Agency (DCA). Tokom šezdesetih godina nadležnosti DCA su se širile i van vojnih komunikacionih sistema. Od 25. juna 1991. godine DCA je ''redizajnirana'' u Agenciju za odbranu informacionih sistema Defense Information Systems Agency (DISA). Konačno, februara 2003. godine, predsednik SAD Džordž Buš potpisuje Nacionalnu strategiju bezbednosti ''sajberspejsa'' (National Strategy to Secure Cyberspace), kojom se stvaraju okviri za zaštitu informatičke infrastrukture esencijalno važne za ekonomiju, bezbednost i uopšte život. Saveznim Zakonom o zaštiti podataka (Bundesdatenschutsgesets) još iz 1972. godine u Saveznoj Republici Nemačkoj bile su definisane obaveze nadležnih u vezi sa bezbednošću IS. Između ostalog, Zakonom je bila definisana obaveza da u sistematizaciju izvršilaca u IS bude ''ugrađena'' dužnost referenta za bezbednost koji bi ''pokrivao'' ovu oblast u IS. Na

2

Primedba autora: zbog doslednosti opredeljujem se za pridev ''informatički''. Naime ovaj tekst se odnosi na informatiku, otuda – informatički.

10

osnovu te obaveze u Nemačkoj, osamdesetih godina na poslovima referenata bezbednosti u IS radilo je između 7 i 10 hiljada ljudi. Navedeni primeri ilustruju koliko se, kako i na kom nivou pridaje značaj bezbednosti IS. Tačno, i na vreme prenesene (spomenute) informacije: ''Ubiti (,)ne(,) poštedeti'', ili ''Isplatiti (,)ne(,) proveriti'', mogu da odluče o životu ili smrti pojedinca ili, na primer banke. Ovakvi i slični primeri treba da determinišu bezbednost IS u našoj državi. Značaj pitanja bezbednosti IS može da se ilustruje "životnim trouglom" informacionog sistema: hardver, softver i bezbednost. Ukoliko izostane ijedna od ovih tačaka, kao tačke u ravni, sistem će da padne. Značaj bezbednosti IS raste sa njihovom involviranosti u (skoro) sve sfere ljudskog života, privredu, zdravstvo, nauku, državnu upravu... Za sada, recimo kao civilni namenski kritični sistemi, mogu se označiti oni koji upravljaju telefonskim centralama, energetskim sistemima (nuklearne centrale) i drugim javnim službama, mreže za prenos finansijskih transakcija i nacionalni sistemi bezbednosti, na primer računarska mreža koja upravlja rashladnim sistemom velikog računskog centra i slično. S druge strane, suočeni smo s problemom prevazilaženja tendencija rukovodstva da se ignoriše osetljivost na mehanizme koji ugrožavaju integritet IS. Do ovoga dolazi iz razloga nepoznavanja značaja računara u obradi podataka jednog preduzeća, čak i konfuzije u nerazlikovanju softvera i hardvera i površnog posmatranja svog računarskog sistema, naročito ako uz to idu arogancija i obest. Često rukovodioci i ne znaju šta radi njihov IS. Oni čak mogu i da izbegavaju komuniciranje sa osobljem koje radi u IS bojeći se (zbog sujete) da se otkrije njihovo neznanje, ili smatraju da je osoblje koje radi u IS suviše nisko u "plemenskoj" hijerarhiji da bi zaslužilo "pažnju" uprave. Visoka cena i na kratku stazu neisplativost zaštitnih mera, predstavljaju samo neke uzroke nedovoljnog tretmana bezbednosti u IS. Naime, bezbednost ima svoju cenu, na primer ako neki priznati i opšteprihvaćeni operativni sistemi moraju biti iznova napisani (dopisani), da bi se minimizirali bezbednosni propusti. Međutim, ako je opasnost dovoljno velika, sredstva utrošena na zaštitu, pogotovo namenskih kritičnih nacionalnih sistema, ne izgledaju tako velika. Čvrste bezbednosne mere mogu otežati primenu nekih novih postupaka u globalnoj mreži, na primer praksa razmene softvera preko mreže. U ovom slučaju može se desiti čak i druga krajnost, politički ponekad i sporna. Postoji mogućnost pojave "velikog brata", totalne kontrole, uvođenje policijske države, koja je jedna od najužasnijih oblika ugrožavanja ljudskih sloboda. Kliper čip je dokaz da postoji elektronski nadzor u IS. Podizanje nivoa bezbednosti posle događaja koji je izazvao štetu, ili post festum, odnosno razmišljanje u smislu "zatvaranje štale nakon što je konj ukraden", može predstavljati samoubistvo u savremenom kompjuterizovanom društvu. Jedan od razloga što se kasni u primeni računarske bezbednosti jeste i taj da incidenti sa neovlašćenim prodorima nisu do sada bili suviše "nasilni".

11

Otuda zaštita IS liči na mučenika koji se našao u Prokrustovoj postelji, pa je ona ili nedovoljna ili je preterana. Ne postoji univerzalno pravilo koje bi jednoznačno propisivalo efikasne i ekonomične bezbednosne mere u oblasti IS. Izbor bezbednosnih mera zavisi od mnogih faktora, kao što su: 1. Opšti atributi IS: — osobine lokacije IS (geografske, urbanističke, arhitektonske i građevinske) — grana delatnosti korisnika IS (proizvodnja, bankarstvo, javna uprava, nauka i obrazovanje, uslužne delatnosti i sl) — veličina organizacije i njena organizaciona struktura — složenost opreme i postupaka u IS — karakteristike krajnjih korisnika i — karakteristike podataka. 2. Posebni atributi IS: — karakteristike izvora saobraćaja i načini njegovog procesiranja (A/D konverzija signala, kompresija, formatizacije) — komunikacioni protokoli svih slojeva OSI referentnog modela izuzimajući protokole sedmog sloja (aplikativni sloj) — sistemi prenosa, multipleksiranje i komutacije — mrežni operativni sistemi i — terminal/računari, odnosno radne stanice i druga računarska oprema. 3. Posebni atributi specijalnog IS: — topologija mreže, ako IS radi u mrežnom ambijentu — mobilnost korisnika — širina propusnog opsega komunikacionog kanala — stepen grešaka — vreme prenosa podataka — vreme obrade podataka — stabilnost telekomunikacione infrastrukture — organizacija upravljanja (centralizovano, lokalno) i — u ratu, vrsta borbenih dejstava. Sigurno je da se opasnosti, kao i težina pripadajućih posledica, menjaju od slučaja do slučaja, kao i od vremena do vremena, budući da se i okolnosti vremenom menjaju kao u žilvernovskoj, skoro mrtvoj, "trci" topa i oklopa. Zbog toga se ne može govoriti o nekom univerzalnom receptu za postizanje referentnog nivoa bezbednosti IS. Ne postoje dva IS koji bi bili identični na bezbednost ili koji bi raspolagali identičnim sredstvima za ostvarenje tih zahteva. U svakom IS prema tome, razviće se specifičan program zaštitnih mera. Ipak, nepostojanje univerzalnog ili standardnog rešenja za postizanje visokog bezbednosnog nivoa IS ima i svoju dobru stranu: ono otežava eventualne zlonamerene pokušaje namernog ugrožavanja IS.

12

Ma koliko zaštitne mere bile različite, ipak se mogu utvrditi osnovne faze važne za određivanje tih mera u svakoj IS: 1. Identifikacija rizika: utvrđivanje, kakvim se sve opasnostima izlaže IS i njegovi resursi (šta se sve može desiti) 2. Određivanje verovatnoće nastupa štetnog događaja, kao i procene mogućih posledica 3. Koje sve zaštitne mere stoje na raspolaganju, koje od tih raspoloživih mera su ostvarljive, pod kojim uslovima, koje će se mere izabrati, šta učiniti da se ne desi nijedan štetan događaj identifikovan u fazi 1. Konačno, i realizacija tih mera 4. Izrada alternativnih bezbednosnih postupaka, šta učiniti ako se desi neki štetni događaj iz faze 1 5. Trajno praćenje, provera i po potrebi revidiranje svih, prethodno navedenih, postupaka. Za informacioni sistem, bezbednost bi bila stanje koje obezbeđuje:3 — poverljivost — integritet — raspoloživost — pouzdanost — neporecivost informacija, odnosno podataka i — proverenost. Poverljivost. Stanje sistema u kome informacija nije na raspolaganju drugima ili pružena onima koji nisu ovlašćeni da je prime. Informacija u ovom slučaju uključuje kako onu koja može da se izvuče iz podataka (informacija je protumačeni podatak) koji se prenose, tako i onu koja može da bude zaključena posmatranjem saobraćaja. Integritet. Stanje sistema u kome podaci nisu izmenjeni ili uništeni na neovlašćeni način. Prema [IBM85], ovaj atribut znači stanje sistema u kom je moguće pravovremeno reagovanje i ponovno osposobljavanje sistema prilikom nastupa štetnog događaja. Raspoloživost. Stanje sistema u kome podacima i drugim resursima može da se pristupa i da se koriste kada je to neophodno. Pouzdanost. Sposobnost komponente, uređaja ili sistema da obavlja svoju zadatu funkciju u određenim uslovima eksploatacije i da zadržava svoje parametre (osobine) u datim tolerancijama. Neporecivost. Stanje sistema takvo da strane u transakciji ne mogu naknadno da poriču učestvovanje u svim ili delovima transakcije. Proverenost [IBM85]. Kao atibut bezbednosti IS je stanje u kom je omogućena provera rada IS i svih njegovih komponenti u svrhu pravovremenog otkrivanja eventualne povrede njegove bezbednosti.

3

Prema ISO IEC 17799, bezbednost (sigurnost) informacije tretira se kao čuvanje: integriteta, raspoloživosti i poverljivosti.

13

2.4. Pretnje i svest o postojanju pretnji, informatički rat Izuzetno je teško znati koje i kakve pretnje stvarno stoje pred IS i još je teže znati u kom će se pravcu kretati razvoj takvih pretnji.4 U odnosu na stvarne svakodnevne pretnje, informatičko ratovanje (IR) nije naročito impresivno.5 Većinu, na primer, računarskih kriminalnih radnji izvršili su ljudi zaposleni u nekoj organizaciji i unutar te organizacije. Spoljne računarske kriminalne radnje su u porastu, ali to nisu sistematični napadi (pojedinaca ili manjih grupa), već su najverovatnije zlonamerne slučajne aktivnosti ili čak posledica znatiželje pojedinaca. Da li relativno benigna prošlost znači relativno benignu budućnost? Kada su, recimo, SAD imale jednog velikog protivnika, niko nije mogao sa sigurnošću da tvrdi da činjenica što nije bilo nuklearenih udara znači da je nuklearna pretnja prošlost. Sada su SAD suočene ne sa jednim ''zmajem'' (protivnikom) koji zadržava svoj dah do pravog trenutka, već sa mnoštvom ''zmija'' koje imaju svoje sopstvene motive i programe rada. Zbog toga pitanje zašto se nešto krupno nije već desilo zaslužuje odgovor. Odgovor je: ako neko već nije nešto uradio, šta nas čini sigurnim da bilo ko neće nešto uraditi. SAD su, za razliku od Evrope, smatrale sebe imunom na konvencionalne oblike terorizma. Posle napada na Svetski trgovinski centar, takva ideja je nestala. Postoje mišljenja da su pretnje stranih faktora, na primer, informatičkim sistemima u SAD, indikacija iste vrste kao što su i nasleđeni sistemi. ''Izgleda da su Rusija i Kina vrlo zainteresovane za računarsko (informatičko) ratovanje'' (Libicky), bar se tako čini prema indikacijama u njihovim publikovanim člancima. Takav stav ima smisla: ako neko želi da naudi svetskoj supersili i ako su informacioni sistemi jedan od kamena temeljaca koji tu supersilu čine takvom, tada imaju takvi napadi smisla. Ovim se želi istaći da su informatički inferiorni više zainteresovani za mogućnosti fabrikovanja i puštanja destruktivnih virusa nego da svakodnevno pokušavaju da prodru u računarske sisteme suparnika. Objašnjenje ovakvog ponašanja može da bude u inferiornosti. Ovakve države nemaju mnogo otvorenih računarskih mreža na kojima se mogu simulirati i uvežbavati upadi u mreže. S druge strane, virusi se mogu testirati na jednom jedinom računaru. Da li će i drugi biti zainteresovani za računarsko ratovanje? SAD su, recimo, u "trendu" i IR je subjekat koji je "u trendu". Osim toga, SAD su najrazvijenija zemlja na svetu u proizvodnji i primeni informatičke tehnologije i lako se usmeravaju u odnosu na nove pretnje, i to brže u odnosu na druge zemlje koje ih sve teže sustižu, posebno one zemlje u kojima nema dovoljno informatičke opreme i kojima nedostaje intuitivni osećaj za mesto 4

M. Libicky, 06.04.2002. godine. Problem se dodatno komplikuje, posebno sa uticajem anglosaksonske terminologije, preplitanjem termina rat i ratovanje, WAR – rat i WARFARE – rat ali i vođenje rata, ratovanje. Pod terminom rat, [Gru81], podrazumeva se "kompleksan, intenzivan i masovan sukob... Osnovni sadržaj je oružana borba, ali se rat ne svodi samo na nju, već uključuje i druge oblike borbe (političku, ekonomsku, psihološku, moralnu) što ga čini totalnim sukobom". Podsetimo se, prema istom izvoru: "Psihološki rat – skup organizovanih postupaka koje jedna ili više država (obično potencijalni agresori) preduzimaju prema stanovništvu i oružanim snagama (OS) druge države, kako bi se uticalo na svest, mišljenje, shvatanje, osećanja i ponašanja ljudi u miru i ratu". Prema [Sza94], "ratovanje je skup svih borbenih i neborbenih aktivnosti koje se preduzimaju da bi se potčinila suprotstavljena volja protivnika ili oponenta. Ratovanje, u ovom smislu, nije sinonim za rat. Ratovanje ne zahteva objavu rata, niti zahteva postojanje uslova koji se u najširem smislu posmatraju kao "stanje rata". Cilj ratovanja nije uvek da se protivnik ubije, već da se potčini. Protivnik je potčinjen kada se ponaša na način koji je koincidentan načinu na koji – agresor ili napadnuta strana – želi da se on ponaša". 5

14

računara u modernom svetu. Hakeri postoje u svim zemljama, čak i u najsiromašnijim, ali bez široke svesti o neophodnosti primene računara u svim oblastima života i rada iz samog vrha vlasti, resursi koji su potrebni da bi se iškolovali brojni hakeri, kao i mudrost da se takav pristup stavi na listu ozbiljnih opcija napada, malo je verovatan. Većina protivnika SAD je u oblastima gde su (informacioni) sistemi retki. Takođe, čitav svet postaje međusobno ožičen (umrežen). Ako je IR popularna tema u Ministarstvu Odbrane (MO) SAD, onda odnos koji MO ima prema IR čini da je svuda u svetu IR popularna (ozbiljna) tema. Tendencije u pretnjama (niskog) inteziteta, kao što su kriminal ili terorizam, teže je proceniti. Uopšteno govoreći, preduzeća vode računa o kriminalnim aktivnostima i reaguju u svim oblastima sa vrlo malim zakašnjenjem pa je teško očekivati da računarski kriminal izuzetno poraste u narednom periodu. U najgorem slučaju može se očekivati blagi porast. Što se tiče terorizma, bez obzira na motive, on će se pre koristiti nasilnim sredstvima a ne modernim računarskim postupcima. Velika je razlika između terorističke grupe koja saopšti da je izvršila očigledan teroristički akt (na primer bomba u automobilu) i iste grupe koja saopšti da je “oborila” telefonski sistem u nekom gradu, jer ovo drugo jednako može biti i posledica normalnog kvara ili ljudska greška, ili propust u projektovanju ili rezultat protivničke aktivnosti. Druga strana pokušaja da se skrene pažnja na promenjene pretnje jeste da se proceni da li će ljudi početi da se odnose prema računarskoj bezbednosti ozbiljnije ili ne. Očigledno je da su te dve stvari povezane: što je veća pretnja, verovatnije je da će ljudi bezbednost shvatiti ozbiljnije: ako nema pretnje, manje će reagovati. Koje indikatore treba još uzeti u obzir? Jedan od indikatora može biti i to kako je čovečanstvo reagovalo na problem Y2K. Pretpostavimo da je problem onoliko ozbiljan koliko se misli, da su mnogi vlasnici (računarskih) sistema reagovali kasno ili neadekvatno, ili da uopšte nisu reagovali, da su nastale štetne posledice i da su sudovima podneti prvi tužbeni zahtevi. Šta bi to sve prouzrokovalo? Da li će se vlasnici (računarskih) sistema smatrati odgovornim za štete koje su nanete korisnicima zbog neodgovarajućeg i nepotpunog softvera? Koji će sada biti standardi za pažljivost vlasnika? Da li će korisnici naučiti da budu oprezni sa proizvodima koje im računar daje? Najzad, da li će ljudi imati isti stav i na nesposobnost vlasnika (računarskih) sistema koji ne uspevaju da drže neželjene posetioce (hakere) van svojih sistema kao na probleme koji su nastali u neophodnoj tranziciji iz 1999. u 2000. godinu? Na formiranje stava će presudno uticati nepredviđeni događaji. Na primer, ako zbog zemljotresa dođe do pada (računarskih) sistema u svim institucijama koje nisu izvršile blagovremeno skladištenje potrebnih podataka u svojim mrežama. Da li će, kao posledica, ljudi onda više pažnje posvećivati redundansi i blagovremenom skladištenju? Bilo koji publikovani primeri padova (računarskih) sistema će, takođe, verovatno probuditi svest o neprirodnim rizicima. Suština oružanog sukoba, kroz istoriju, ne pokazuje tendenciju značajnijeg menjanja. On i dalje predstavlja dinamički sukob različitih želja i praćen je ljudskim žrtvama, materijalnim razaranjima, terorom i ljudskim patnjama. U savremenom svetu, uzrok oružanog sukoba može biti i rastuća pretnja ugrožavanja glavnih državnih informacionih sistema, radi sabotiranja privrednih tokova u konkretnoj zemlji.

15

3. KLASIFIKACIJA NAPADA NA IS Već je u poglavlju 2. navedeno: "Ma koliko bezbednosne mere bile različite ipak se mogu utvrditi osnovne faze važne za određivanje tih mera u svakom IS: 1. Identifikacija rizika: utvrđivanje, kakvim se sve opasnostima izlaže IS i njeni resursi (šta se sve može desiti) i 2. Određivanje verovatnoće nastupa štetnog događaja kao, i procene mogućih posledica". Ovo bi bili početni koraci u razvoju bezbednosnog sistema IS.

3.1. Cilj formiranja klasifikacije napada na informacione sisteme Informacioni sistem se obezbeđuje sa ciljem da se resursi IS zaštite od mogućih prolaznih ili trajnih oštećenja, uništenja ili bilo kakvih štetnih događaja, koji bi mogli ugroziti rad IS. Cilj obezbeđenja IS je i sprečavanje neovlašćenog slučajnog ili namernog pristupa, promene i/ili uništenja informacija, koje ulaze ili su ''uskladištene'', ili su "izlaz" iz IS. Svako oštećenje IS, promenu6 i/ili uništenje informacija u IS nazvaćemo degradacijom7 IS. Degradacija IS ima za posledicu eroziju atributa bezbednog IS iz tačke 2.3, a posebno (dajemo u nešto izmenjenoj strukturi): 1. Raspoloživosti; za IS se podrazumeva verovatnoća, da će on u skladu sa projektovanim performansama izvršavati: — određene funkcije — u određenom vremenu i — pod određenim uslovima. 2. Pouzdanosti; IS je sposoban da obavlja zadatu funkciju i da zadržava svoje parametre (osobine) u datim tolerancijama čak i u redukovanim uslovima svog okruženja. Pouzdanost uključuje i ove sposobnosti: — sposobnost nastavljanja radom nakon što neke komponente sistema ispadnu iz rada — sposobnost održavanja integriteta informacija. IS mora da radi kako je planirano, a informacije koje se nalaze u IS moraju biti tačne — u IS postoje rezervne komponente i/ili putevi. Pod ovim aspektom se podrazumeva i sposobnost blagovremenog reagovanja i ponovnog uspostavljanja IS (backup) u slučaju da nastupi neki štetni događaj — sposobnost uočavanja ispadanja neke komponente u procesu rada; IS mora da omogući nadzor nad dostupom do sistemskih resursa (hardver, softver, podaci) i sprečavanja pristupa do njih i — sposobnost reorganizacije u modifikovani sistem onih elemenata, koji su još u dobrom stanju. Prema [IBM85], može da se analizira izveštaj National Computing Center-a iz Velike Britanije. Uzroci štetnih događaja koji su bili uzrok degradacije rada računskih centara bili su sledeći: 6 Promena informacije ne mora imati (samo) štetnu posledicu. U ovom slučaju to je promena informacije koja će informaciju (podatak) dovesti u nesaglasnost sa stvarnošću. Dakle, to je lažna (netačna) informacija (podatak). 7 Degradacija [Vuj80] je "svođenje na niže stanje razvoja, svođenje na nivo manje sposoban za pretvaranje'' (u originalu degradacija energije).

16

Red. br. 1. 2. 3. 4. 5. 6. 7. 8. 9.

U kojoj se meri pojavljivao Nikada Ponekad Znatno

Poreklo štetnog događaja UKUPNO Otkazivanje hardvera Greška operatera Sistemski softver Aplikacioni softver Komunikacije Napajanje/klima Požar/poplava Zlonamerna šteta Krađa/falsifikovanje – neovlašćeno korišćenje

559

%

846

%

67

%

15 11 24 12 57 31 129 140

2.68 1.97 4.29 2.15 10.20 5.55 23.08 25.04

121 132 123 132 84 118 132 2

14.30 15.60 14.54 15.60 9.93 13.95 15.60 0.24

16 15 12 11 7 5 1 0

23.88 22.39 17.91 16.42 10.45 7.46 1.49 0.00

140

25.04

2

0.24

0

0.00

Tabela 3.1. Uzroci degradacije rada računskih centara Prema ovoj anketi, uočava se da je znatan procenat ispadanja hardvera 23,88% i da (skoro) nikada nije bilo (ili nisu evidentirane) zlonamerne štete, krađe, falsifikovanja ili neovlašćenog korišćenja podataka. Naime, ne bi bilo dobro ako bi se saznalo da firma zapošljava nepouzdano ili kriminalu sklono ljudstvo. Međutim, prema analizi [IBM85], koju je objavio IBM, spisak uzroka degradacije IS izgledao je ovako: — greške i propusti, u 50% do 80% svih slučajeva — zloupotreba — vatra — zlonamerna šteta — voda i — ostalo. Primeti se razlika na štetu tzv. ljudskog faktora, u IBM analizi. Ova razlika je shvatljiva zbog zaštite imidža firme. Posle tragičnih događaja u SAD 11. septembra 2001. godine, kompanija KPMG [Kpm02] sprovela je istraživanje u oblasti bezbednosti IS u svetu. Sponzori tog istraživanja bili su CheckPoint, Symantec, RSA i InfoSecurity Magazine. Rezultati istraživanja bili su podeljeni po regionima: Evropa, uključujući Bliski istok i Afriku (EMEA), Azijskotihookeanski region i Američki kontinent. Tokom istraživanja, obavljen je 641 telefonski razgovor sa rukovodiocima, odgovornim za bezbednost IS u različitim organizacijama iz različitih ekonomskih oblasti. Istraživanje je sprovedeno, pretežno, u velikim firmama, od kojih je 31% imalo od 1.000 do 5.000 zaposlenih. Sve firme su imale veći godišnji obrt od 50 miliona US$.

17

Odgovori u vezi sa napadima na IS bili su po sledećem: Incidenti sa računarskim virusima

22%

Napadi od strane hakera

21%

Gubljenje daljinske kontrole

17%

Narušavanje bezbednosti u radu na Internetu 10% Rušenje tajnosti lične informacije

5%

Nedostatak nivoa obučenosti korisnika

5%

Narušavanje bezbednosti sistema В2В

5%

Prevare od strane zaposlenih

4%

Krađa ili kvarenje podataka/informacija

4%

Ostalo

7%

Tabela 3.2. Uzroci degradacije rada računskih centara 2002. godine Ovde treba spomenuti i [Den79] da je u ''prošlim dekadama'' otkriven "manji broj lica" koja su se "obogatila" krađom pomoću računara. Nedostatak tehničkog znanja, s jedne strane, i manja sklonost kriminalu osoblja koje rade na računarima u izvesnoj meri smanjili su spektakularnost krađa bar prema njihovim iznosima. Neke krađe nikad nisu otkrivene zbog toga što su, na primer, u bankama prikrivane jer bi se na taj način pokradena banka loše reklamirala. Za poznate krađe, srednja vrednost štete kretala se oko 500.000 US $. Prema [Den79], na osnovu analize oko hiljadu uzroka kompjuterskih zloupotreba, nameće se zaključak da mnogo uzroka (verovatno) ostane neotkriveno pa čak i namerno sakriveno. Da bi se odbranio, savladao "neprijatelja", moraš ga poznavati. U našem slučaju "neprijatelj" ugrožava IS. Šta su sve "neprijatelji" IS? Brojni su, vrlo često nesređeni, pristupi u identifikaciji uzroka štete u IS. U identifikaciji opasnosti po IS, to su, svakako, one koje bi degradirale IS u njenim osnovnim aspektima.

3.2. Klasifikacije napada na informacione sisteme Radi identifikacije, izložićemo klasifikaciju napada preko alata korišćenih za napad, pristupa i rezultata napada (posledica). Svaka klasifikacija mora da ima sledeće karakteristike [How97]: 1. Međusobna isključivost – klasifikacija u jednu kategoriju isključuje sve ostale kategorije da se ne bi preklapale, kategorije su disjunktne 2. Potpunost – unija kategorija obuhvata sve mogućnosti 3. Nedvosmislenost – jasna i precizna klasifikacija koja ne dozvoljava nebezbednost ko god se njome bavi 4. Ponovljivost – ponavljanje procesa klasifikacije daje uvek isti rezultat, bez obzira na to ko vrši klasifikaciju 5. Prihvatljivost – logička i intuitivna da bi bila opšteprihvaćena i 6. Primenljivost – može se primeniti u istraživanjima i u drugim sferama ljudskog interesovanja da bi se ostvario uvid u zonama interesa.

18

Ove karakteristike se mogu iskoristiti za evaluaciju bilo koje klasifikacije. Ipak uza sva ograničenja ona je važna za sistematičnu studiju. Ovde će biti reči o nekim poznatim klasifikacijama napada na računarske sisteme. Prikazani pregledi uzroka štete, Tabela 3.1. i Tabela 3.2, ne mogu da budu dobre klasifikacije napada. Na kraju će se pokazati da nijedna klasifikacija ne ispunjava svih 6 uslova dobre klasifikacije. 3.2.1. Lista termina Jednostavnu i veoma popularnu klasifikaciju napada na računarske sisteme predstavlja lista termina. Ova lista ne zadovoljava kriterijume zadovoljavajuće klasifikacije. Svi termini nisu međusobno isključivi. Na primer, na listi se posebno nalaze virus i logic bomb8, iako je logička bomba jedna specifična vrsta virusa. Napadači često koriste više metoda prilikom napada, što znači da bi napad bio klasifikovan u više kategorija odjednom. Navedena klasifikacija nije nedvosmislena, teško je ponovljiva i ne pruža uvid u povezanost različitih napada, te stoga i nije opšteprihvaćena. Slična situacija je i sa listom termina koju je dao Koen [How97]. Lista kategorija, zapravo, predstavlja listu termina sa definicijama. Jednu ovakvu listu dali su [Che94] Čezvik (Cheswick) i Belovin (Bellovin) u svom tekstu o zaštitnim barijerama. Njihova klasifikacija sadrži sedam kategorija: 1. Krađa lozinke (Stealing passwords) – metode za dobijanje lozinki ovlašćenih (autentikovanih i/ili autorizovanih) korisnika 2. Socijalni inženjering (Social engineering) – pričom i "prijateljskom" komunikacijom napadač dolazi do podataka koje ne bi trebalo da zna 3. Bagovi i sporedna vrata (Bugs and backdoors) – iskorišćavanje sistema koji ne odgovaraju svojim specifikacijama 4. Greške autentikacije (Authentication failures) – zaobilaženje ili varanje mehanizma za autentikaciju 5. Greške protokola (Protocol failures) – iskorišćavanje nepravilno dizajniranih i implementiranih protokola 6. Odliv informacija (Information leakage) – korišćenje sistema kao što su "finger" i DNS za dobijanje informacija neophodnih za administraciju i pravilan rad mreže koje mogu biti korišćeni od strane napadača 7. Otkazivanje usluga (Denial-of-service) – napori da se sistem učini nedostupan ovlašćenim (autentikovanim ili autorizovanim) korisnicima. Budući da se uvodi strukturiranost, lista kategorija predstavlja napredak u razvoju zadovoljavajuće klasifikacije. Međutim, ovakva klasifikacija ne zadovoljava osnovne principe baš kao i lista termina. Autori pokušavaju da uvedu i podkategorije, što ovaj pristup približava listi termina. 3.2.2. Kategorije rezultata Ovo je varijacija liste termina koja se zasniva na razlikovanju napada u odnosu na rezultat napada. Primer ovakve liste dao je Koen [Coh95]. 1. Korupcija – neovlašćena (neautorizovana) izmena (kvarenje) podataka 2. Odliv informacija – informacije završavaju na mestu gde ne bi trebalo i 3. Otkazivanje usluga – nedostupnost sistema ovlašćenim (autentikovanim) korisnicima. 8 Prema [Int00d], logička bomba uslovno se smatra posebnim virusom, tako da ova klasifikacija ne obezbeđuje disjunktnost i ne ispunjava uslove dobre klasifikacije.

19

Ovakva klasifikacija se pokazala kao dobar okvir za razvoj zadovoljavajuće klasifikacije, zato što za većinu napada može jednoznačno odrediti pripadnost kategoriji. Međutim, to nije uvek slučaj. Na primer, napadač neovlašćeno koristi računarski sistem tako da ne utiče na kvalitet usluge drugim korisnicima. Taj primer se teško može svrstati u bilo koju od tri kategorije. 3.2.3. Matrica Peri (Perry) i Volih (Wallich) [Per84] izložili su svoju klasifikaciju napada kao matricu u dve dimenzije, mogući rezultati i mogući počinioci. Ovakav pristup omogućava jednostavnu klasifikaciju incidenata u dvodimenzionalnu matricu, gde svaka ćelija predstavlja kombinaciju mogućih počinilaca: operateri (operators), programeri (programmers), činovnici koji unose podatke (data entry), unutrašnji korisnici (internal), spoljašnji korisnici (outside), provalnici u sistem (intruders) i mogućih efekata napada: fizičko uništenje (physical destruction), uništenje podataka (information destruction), manipulacija podacima (data diddling), krađa usluge (theft of service), pretraga (browsing) i krađa podataka (theft of information). Dve dimenzije svakako predstavljaju korak napred, s obzirom na to da ovaj pristup zadovoljava isključivost i potpunost. Međutim, nisu svi termini u matrici logični i intuitivni. Na primer, iz matrice sledi da spoljašnji korisnik sa ciljem da uništi informacije koristi zlonameran softver (malicious softvare), mada napadač spolja može koristiti i druge tehnike, na primer, komandni interfejs (command interface), za postizanje svog cilja. 3.2.4. Klasifikacije bazirane na procesima Namera autora klasifikacija baziranih na procesima jeste da skrenu pažnju sa klasifikacije po kategorijama i uvedu pristup koji će, baziran na procesima, biti najbliži ljudskom razmišljanju i viđenju problema bezbednosti računarskih sistema. Stolings (Stallings) je predložio jednostavan model koja klasifikuje pretnje računarskim sistemima. Iako se model odnosi samo na podatke u tranzitu, naveden je zbog toga što je zanimljiv i pogodan za dalje istraživanje. Stolings je definisao četiri kategorije, i to: 1. Prekidanje (interruption) – resursi sistema su uništeni ili nedostupni korisnicima 2. Presretanje (interception) – neovlašćeno lice pristupa resursima sistema 3. Modifikacija (modification) – neovlašćeno lice ne samo da pristupa resursima sistema već ih i modifikuje i 4. Fabrikacija (fabrication) – neovlašćeno lice unosi falsifikovane objekte u sistem. Po Stolingsu, presretanje predstavlja pasivan napad, dok su prekidanje, modifikacija i fabrikacija aktivni napadi. Sve četiri kategorije su predstavljene i na Slici 3.1. Iako je ovaj model pojednostavljen i ograničene primene, ukazuje nam na korisnost isticanja procesa za opisivanje napada na računarske sisteme.

20

Odredište informacija

Izvor informacija Normalan Normalan prenos t k

Prekidanje Prekidawe

(2)Presretanje Presretawe Presretawe

Fabrikacija Fabrikacija

Modifikacija

Slika 3.1. Klasifikacija napada na računarske sisteme po Stolingsu 3.2.5. Kombinovana klasifikacija napada na računarske sisteme Sa operativne tačke gledišta, napadač [How97] na računarski sistem pokušava da dostigne vezu krajnjeg cilja i motiva. Ova veza se može opisati sekvencom koju čine alat, pristup i rezultati napada, kao što je prikazano na Slici 3.2. napadači

alat

pristup

rezultati

ciljevi

Slika 3.2. Sekvenca napada Svaki segment ove sekvence biće detaljno opisan i proširen tako da zajedno predstavljaju zadovoljavajuću klasifikaciju napada na računarske sisteme. 3.2.5.1. Napadači i njihovi ciljevi Napadači su polazna tačka svakog napada na računarski sistem. Možemo ih razlikovati po tome ko su ili odakle su, po njihovim sposobnostima, po tome da li su unutar ili van sistema koji napadaju. Za definisanje ove klasifikacije napada koristi se razlikovanje napadača po tome šta oni obično rade i zbog čega to rade. Napadače možemo podeliti u šest kategorija, i to: 1. Hakeri9 – provaljuju u računarske sisteme uglavnom zbog izazova koji predstavlja varanje sistema zaštite ili želje da se domognu statusa prioritetnog korisnika sistema 9

Haker je veliki računarski entuzijasta koji poznaje računarski sistem do detalja i upada u taj sistem radi igre i zabave [Jov98]. Međutim, hakeri se više ne smatraju dobroćudnim istraživačima već su to najčešće zluradi nametljivci. U odnosu na nelegalnost, nelegitimitet, nasilništvo i štetu koju izazivaju, možemo tvrditi da je

21

2. Špijuni – provaljuju u računarske sisteme uglavnom zbog informacija koje mogu biti korišćene za političku dobit10 3. Teroristi – provaljuju u računarske sisteme uglavnom da bi izazvali strah koji im omogućava političku dobit11 4. Organizovani napadači – zaposleni jedne kompanije provaljuju u računarske sisteme druge konkurentske kompanije zbog finansijske koristi 5. Profesionalni kriminalci12 – provaljuju u računarske sisteme uglavnom zbog lične finansijske koristi 6. Vandali – provaljuju u računarske sisteme uglavnom da bi naneli materijalnu štetu. Ovakvom klasifikacijom su određene i četiri kategorije ciljeva ili razloga napada, a to su izazov ili status, politička dobit, finansijska dobit i materijalna šteta. 3.2.5.2. Pristup Definicija bezbednosti računarskih sistema direktno vodi u centar veze između napadača i njihovih ciljeva, a to su neautentikovan pristup i neautorizovano korišćenje. Slika 3.3. predstavlja proširenje segmenta pristupa sa Slike 3.2. Strelice pokazuju da svi napadači moraju da obezbede neautentikovani pristup ili da koriste računarski sistem na neautorizovan način da bi ostvarili vezu sa svojim ciljevima. Neautorizovani pristup ili korišćenje odnosi se na procese ili na datoteke i podatke u tranzitu preko procesa. Većina poznatih incidenata na Internetu uključuje neautentikovani pristup, mada i zloupotreba autentikovanih pristupa takođe predstavlja veliki problem.

mala razlika između hakera (koji generišu viruse) i teroriste. Mada [Pet00], "izvorni" hakeri da bi se distancirali od "huligana elektronskog doba", kojima hakiranje predstavlja mogućnost ispoljavanja sopstvenih frustracija i agresivnosti, ovima su dali naziv koji bolje reflektuje njihove maliciozne namere – krakeri (cracker). U proleće 1990. godine, na primer, tri hakera iz Australije optužena su u Melburnu za oštećenje podataka u računarima Vlade SAD. Prema izjavama policije (kako je pisao Njujork Tajms), nametljivci su – koristeći šifrovana imena ”Feniks”, ”Elektron” i ”Non” – prodrli u računare institucija kao što su Los Alamos National Laboratory, Digital Equipment Corporation, Lawrence Livermore National Laboratory, Vellsore (telefonski istraživački institut), Harvard univerzitet, Njujorški univerzitet i Univerzitet Teksasa, a to su učinili iz – Melburna. Prvi upadi u tuđe sisteme [Adži99] sežu u daleke šezdesete, kada hakeri naravno nisu ni bili obeleženi tim imenom. U to vreme, pojam "računar" najčešće se identifikovao s podrumom nekog fakulteta punim elektronskih cevi i kablova, s posebnim klimatskim uslovima. Programeri koji su radili na tim dinosaurusima imali su veoma ograničen pristup, pa su često koristili razne trikove kako bi što efikasnije završili svoj posao. Te rutine bile su poznate pod imenom "hack" – seckanje, odakle i potiče današnji termin haker. 10 Ne samo "političku". Postoje i industrijski špijuni kojima je cilj opservacija poslovnih sistema, krađa poslovnih tajni a naročito inovacija koje donose veliki profit. 11 Ne samo "političku". Teroristi mogu da iznuđuju i novac. 12 Za ovu vrstu kriminalaca početkom osamdesetih godina prošlog veka nastala je sintagma "belookovratnički kriminal" ili " kriminal belih kragni".

22

pristup nedostaci implementacije nedostaci dizajna

neautorizovani pristup

datoteke

neautorizovano korišćenje

procesi

podaci u tranzitu

nedostaci konfiguracije

Slika 3.3. Segmenti pristupa Da bi ostvario kontrolu nad željenim procesima, napadač mora iskoristiti neke od nedostataka računara ili računarske mreže. Nedostaci se mogu podeliti u tri grupe. Prvu grupu i najpoznatiji nedostatak predstavljaju softverski bagovi koji predstavljaju problem implementacije dobro dizajniranog softvera ili hardvera. Mnogi primeri implementacijskih nedostataka vezani su za UNIX operativni sistem, najrasprostranjeniji operativni sistem na Internetu i probleme sa sendmail programom. Napadač, koristeći nedostatke ovog programa može ostvariti neautentikovani pristup ili koristiti sistem na neautorizovani način. Drugu grupu nedostataka predstavljaju nedostaci samog dizajna softvera ili hardvera. Ovakvi nedostaci su mnogo ozbiljniji i teži za korekciju, jer čak i savršena implementacija može imati nedostatke koje napadači mogu iskoristiti. Sendmail program je primer i za ovu grupu nedostataka jer, čak i kad nema softverskih grešaka, elektronska pošta generisana ovim programom može biti korišćenja na neautorizovani način. Na primer, repetitivnim slanjem elektronske pošte (mail spam) što za rezultat može imati otkazivanje usluga sistema (denial-of-service). Treću grupu nedostataka čine greške pri konfigurisanju softvera ili hardvera. Mnogi izdavači isporučuju svoj softver u "poverljivom" stanju, koji je pogodan za korišćenje brojnim korisnicima. Poverljivo stanje predstavlja tzv. default (podrazumevano) stanje koje je često konfigurisano sa opštepoznatim parametrima sistema, uključenim opcijama koje nemaju zaštitu, itd. 3.2.5.3. Rezultati Rezultati se nalaze između pristupa i ciljeva u sekvenci koja ilustruje napad na računarski sistem. U ovoj tački sekvence napadač ima pristup željenim procesima, datotekama i podacima u tranzitu i slobodno može menjati sadržaj datoteka, otkazivati usluge sistema, izvlačiti poverljive informacije ili neautorizovano koristiti usluge koje taj sistem pruža. Kategorije rezultata napada su sledeće: 1. Korupcija informacija – neautorizovana promena sadržaja datoteka ili podataka u tranzitu 2. Obelodanjivanje informacija – pružanje na uvid informacija osobama koje nisu autentikovane za pristup tim informacijama 3. Krađa usluga – neautorizovano korišćenje usluga računarskog sistema, bez uticaja na kvalitet usluga drugim korisnicima

23

4. Otkazivanje usluga – namerna degradacija kvaliteta usluga ili potpuno blokiranje rada delova računarskog sistema. 3.2.5.4. Alat Alat i metode njegove primene za iskorišćavanje nedostataka računarskih sistema veoma je raznolik i dostupan velikom broju korisnika računara. Alat se može podeliti u sledeće kategorije: 1. Komande korisnika. Napadač zadaje komande sistemu preko komandne linije ili preko grafičkog interfejsa. Primer je korišćenje telnet (telnet) programa za uspostavljanje veze sa sistemom koji je meta napada i pokušaj da se priključi na mrežu kao korisnik ili administrator. Koriste se tehnike kao što su pogađanje lozinke ili unos dugačkog niza karaktera da bi se ispoljili nedostaci sistema 2. Skriptovi i programi. Napadači mogu koristiti skriptove ili programe da bi obezbedili automatizaciju komandi. Skript je najjednostavniji način automatizacije jer predstavlja niz komandi koje se izvršavaju jedna za drugom. Primer programa koji se često koristi jeste crack. Ovaj program služi administratorima za proveru validnosti lozinki, ali isto tako može ga koristiti i napadač da sazna lozinke ovlašćenih (autentikovanih i/ili autorizovanih) korisnika sistema. Drugi primer su programi poznati pod nazivom Trojanski konj (Trojan horse). Ovi programi se prvo kopiraju na računar koji je meta napada preko već instaliranih programa. Trojanski konj se ponaša baš kao i originalni program, a napadaču omogućava da korišćenjem sporednih prolaza koje obezbeđuje trojanski konj pristupi resursima sistema i preduzme neautorizovane akcije. 3. Autonomni agenti. Za razliku od skriptova i programa, autonomni agenti sami, oslanjajući se na sadržanu programsku logiku, nezavisno određuju metu napada. Najpoznatiji autonomni agent je računarski virus. Spaford (Spafford) je ovako definisao računarski virus: "...računarski virus je segment mašinskog koda, obično od 200–4.000 bajta, koji će nakon aktivacije kopirati svoj kod na jedan ali više programa domaćina. Prilikom izvršavanja programa domaćina, "zaraženi" kod će biti izvršen i virus će nastaviti da se širi." Drugi primer autonomnog agenta, tzv. crv (worm), deluje nezavisno od drugih programa. Po Spafordu, crv predstavlja program koji se nezavisno izvršava i putuje od računara do računara preko računarske mreže i u određenom trenutku može da ima više delova koji se izvršavaju na više računara. Crvi ne menjaju druge programe, ali mogu da nose izvršni kod koji to čini. 4. Paketi alata (toolkit). Ovi paketi sadrže više alata iz kategorija skriptova, programa i autonomnih agenata, neretko objedinjenih u okruženje sa grafičkim interfejsom. Najrasprostranjeniji paket alata je rootkit koji sadrži programe za praćenje saobraćaja na mreži, kao i programe koji se koriste za prikrivanje neautorizovanih aktivnosti i obezbeđenje sporednih prolaza za kasnije korišćenje. 5. Distribuirani alat. Ovaj alat se koristi za simultano napadanje računarskih sistema iz više tačaka. Napad se priprema tako što se delovi distribuiranog alata kopiraju na više računara povezanih na Internet mrežu. Delovima se zatim sinhronizuju satovi (timers) tako da se svaki deo aktivira u predefinisano vreme. Veoma je teško otkriti napad izveden ovim alatom. 6. Prisluškivanje podataka (data tap). Računari i mrežni kablovi emituju elektromagnetne talase koji mogu biti iskorišćeni za otkrivanje informacija. To se posebno odnosi na podatke koji se prikazuju na ekranu i podatke u tranzitu, često spominjano kao Van Ejk efekat. Na Slici 3.4. prikazana je kompletna klasifikacija napada na računarske sisteme. Klasifikacija napada oslikava put koji napadač mora da pređe da bi stigao do svog cilja. Da 24

bi bio uspešan, napadač uglavnom mora da pronađe više puteva i da ih koristi simultano. Napori koji se ulažu za obezbeđenje sistema odnose se na svih šest segmenata klasifikacije. Prvi segment, napadači, predstavlja deo koji administratorima sistema ali i pravosudnim organima13 pomaže da odrede ko su napadači i gde se oni nalaze. Kada se to radi, lako se može onemogućiti pristup resursima sistema onima za koje se smatra da su nepoželjni. To se može učiniti, na primer zabranom otvaranja naloga ali prijavom pravosudnim organima. Kada se alat pronađe, veoma ga je lako otkloniti iz sistema. Na primer, korišćenjem antivirus programa mogu se detektovati i eliminisati autonomni agenti iz sistema. Sistem se može pažljivo nadgledati da bi se uočilo prisustvo neautorizovanih datoteka i programa. Mogu se posmatrati i čuvati podaci o komandama koje su korisnici zadavali sistemu za vreme korišćenja sistema, tako da se može odmah reagovati na nepravilnosti. Sačuvani podaci se mogu kasnije koristiti da bi se rekonstruisao tok napada i unapredio sistem zaštite. Pristup sistemu se može obezbediti na dva načina. Prvi način odnosi se na korišćenje robusnih programa za koje se zna da su pouzdani sa stanovišta nedostataka. Tu veoma važnu ulogu igraju administratori sistema. Oni moraju biti sigurni da je sistem pravilno konfigurisan, da su poznati softverski bagovi "zakrpljeni", a da je nesiguran softver uklonjen ili da mu je primena ograničena. Drugi način obezbeđenja pristupa jesu uvođenje kontrole pristupa datotekama i procesima, korišćenje sigurnih lozinki i smanjenje broja procesa koji nemaju kontrolu pristupa. Rezultati napada mogu biti ublaženi na različite načine. Na primer, osetljivi podaci mogu biti kriptovani tako da čak i u slučaju da im napadač pristupi neće moći da sazna sadržaj tih podataka. Međutim, kriptovanje ne obezbeđuje sadržaj tih podataka. Naime, ono ne obezbeđuje zaštitu od neautorizovane izmene sadržaja ili brisanja kriptovanih podataka. Gubitak osetljivih informacija može se sprečiti obezbeđivanjem rezervnih kopija (backup). Sve ove metode se koriste da bi se napadaču onemogućilo postizanje ciljeva. Navedena klasifikacija umnogome zadovoljava prethodno navedene opšte karakteristike klasifikacije. Pristup kojim se povezuju napadači sa ciljevima predstavlja logički sled razmišljanja napadača. On se odlučuje kojim alatom će izvršiti napad i na koji način će ga koristiti da bi rezultat napada zadovoljio njegove ciljeve. Klasifikacija daje i mogućnost proširenja svakog segmenta, ukoliko se za to ukaže potreba.

13

Zbog nejasne definicije virusa, pravosuđe ima problema u kvalifikaciji dela i krivca.

25

nedostaci dizajna

komande korisnika

skriptovi i programi

autonomni agenti

paketi alata

distribuirani alat

prisluškivanje podataka

hakeri

špijuni

teroristi

organizovani napadači

profesionalni kriminalci

vandali

neautorizovano korišćenje

neautorizovan pristup

pristup

procesi

podaci u tranzitu

datoteke

26

Slika 3.4. Kombinovana klasifikacija napada na računarske sisteme

nedostaci konfiguracije

nedostaci implementacije

alat

napadači

otkazivanje usluga

krađa usluga

obelodanjivanje informacija

korupcija informacija

rezultati

materijalna šteta

finansijska dobit

politička dobit

izazov, status

ciljevi

3.3. Primer klasifikacije napada na informacioni sistem Moguće je razviti klasifikaciju i kao bazu podataka sa atributima kako je dato u Tabeli 3.2. Tabela 3.3. je, u stvari, evidencija napada na jedan konkretan informacioni sistem (IS). Za klasifikaciju napada na IS, evidentirani su sledeći podaci: 1. Ime napada – naziv napada, onakav kakvim ga znaju svi na Internetu 2. OS – operativni ili drugi sistem koji je ugrožen direktno/indirektno ovim napadom 3. Klasa napada – klasa kojoj ovaj napad pripada 4. Način otkrivanja – može biti lak (L)14, težak (T) ili vrlo težak (VT) 5. Stepen štete – može biti lak (L), težak (T) ili vrlo težak (VT) 6. Način korekcije – može biti lak (L), težak (T) ili vrlo težak (VT) 7. Oblast delovanja – napad može delovati na softversku (SW) celinu ili hardversku (HW) celinu sistema 8. Opis napada – kako napad deluje 9. Opis načina detekcije – kako je napad moguće detektovati, kao i problem koji se napadom potencira na konkretnom sistemu 10. Opis načina korekcije – kako po detekciji ispraviti probleme softversko/hardverske prirode, ali i izvršiti korekciju u bezbednosnom sistemu kako se napad više ne bi mogao ponoviti 11. Da li je napad testiran – odgovor sa rezultatima testiranja napada. Napad je (nije) testiran u IS i 12. Datum testiranja.

14

Ocena L – lako, T – teško, VT – vrlo teško, subjektivne su i relativne i odnose se na, recimo, količinu uloženih radnih sati za otklanjanje štete i sl. Ocene iznosa ili veličine štete su, takođe, subjektivne i relativne.

27

Ime Snork

Atributi NT/Win95 OS Denial of service Klasa napada L Način otkrivanja T Stepen štete L Način korekcije SW Oblast delovanja Opis napada Snork je napad tipa “prekid servisa“ koji koristi probleme koje ima Windows NT RPC (Remote Procedure Call) servis. Tokom ovog napada nametljivac može vrlo lako da NT operativnom sistemu trenutno i potpuno ukrade sve raspoložive resurse i onemogući dalje funkcionisanje za duže vreme. Takođe, napadač je u prilici da ugrozi propusnu moć napadnute NT mreže time što će naterati sve ugrožene računare da međusobno razmenjuju nepotrebne pakete među sobom i time obaraju performanse mreže. Opis načina detekcije Sistemi osetljivi na ovaj napad su Windows NT 4.0 Workstation i Server. Svi operativni sistemi sa servisnim “zakrpama“ (pack) zaključno sa verzijom SP4 RC1.99 osetljivi su na ovaj napad a takođe i sve hotfix “zakrpe “ realizovane zaključno sa 10. septembrom 1998. godine. Opis načina korekcije Prvi način: Microsoft ima zakrpu za ovaj napad i on je dostupan na adresi: http://www.microsoft.com/security/bulletins/ms98-014.htm Drugi način: treba zatvoriti pristupni UDP port 135 za dolazne pakete poslate na taj port sa portova 7, 19 i 135. Da li je napad testiran? Da, sistem nije bio ugrožen. Pretpostavlja se da je primenjen SP5, kao i da je uključena dodatna paket filtar zaštita. 19. septembar 1999. Datum testiranja Tabela 3.3. Podaci o napadu tipa Denial of Service

Švedska Agencija za administrativni razvoj [IBM85] razvila je u saradnji sa IBM – Švedska u godinama 1974/75. standard za bezbednosne sisteme u EOP i u tom smislu identifikovano je 72 vrste mogućih opasnosti i 47 vrsta mogućih unutrašnjih slabosti. Na Slici 3.5, prema [Hor98], prikazana su ''ranjiva'' mesta karakteristična za poslovne prostore. Na analogan način mogu se prikazati ranjiva mesta za informacione, informaciono-komunikacione i ATM sisteme.

28

2

24

8

4 9 17 18

25

20 21 22

14

15 18

5

10

23 19

12

26

16 12

28 5 1 5 13 30

27 29

7

3

6

11

Slika 3.5. ''Ranjiva'' mesta u poslovnim prostorijama (mogući kanali oticanja i neovlašćenog pristupa informacijama) Legenda uz Sliku 3.5. 1. 2. 3. 4.

Oticanje na račun strukturnog zvuka u zidovima ''Skidanje'' informacija sa trake printera, loše obrisanih disketa i slično ''Skidanje'' informacija pomoću video uređaja Personalni računar (softversko-hardverski umeci i oticanje informacija preko javnih računarskih mreža – Internet) 5. Radio-prislušni uređaji u zidovima i nameštaju 6. Prijem informacija preko sistema ventilacije 7. Laserski prijem informacija sa prozorskih stakala 8. Proizvodni i tehnološki otpaci 9. Kompjuterski virusi 10. ''Skidanje'' informacija na račun indukcije i VF zračenja 11. Daljinsko osmatranje pomoću optičkih uređaja 12. Prijem akustičkih informacija pomoću diktafona 13. Čuvanje medijuma (nosilaca informacija) 14. VF kanal oticanja informacija 15. Prijem informacija usmerenim mikrofonima 16. Unutrašnji kanali oticanja informacija (preko personala) 17. Neovlašćeno kopiranje 18. Oticanje informacija na račun EM zračenja 19. Prijem informacija na račun ''telefonskog uha'' 20. Prijem informacija sa tastature (printera ili kompjutera) na osnovu akustičkog kanala 21. Prijem informacija sa displeja monitora po EM kanalu 22. Vizuelni prijem informacija sa displeja monitora i printera 23. Indukcija u komunikacionim kanalima i ''pomoćnim'' provodnicima (vodovod, centralno grejanje, cevi za gas) 24. Oticanje informacija na putu prenosa podataka 29

25. Oticanje informacija po mreži uzemljenja 26. Oticanje informacija po mreži električnog (elektronskog) sata 27. Oticanje informacija sistemom interfona (razglasa) 28. Oticanje informacija bezbednosno-požarnom instalacijom 29. Oticanje informacija po mreži elektronapajanja 30. Oticanje informacija po mreži grejanja, vodovoda i plina.

3.4. Neki karakteristični primeri napada na IS Eksluzivnost pa i ''popularnost'' nekih vrsta napada razlog su da se posebno obrade u ovoj glavi. Naime, cilj je da se čitalac podstakne da malo više razmišlja o ovom problemu. 3.4.1. Računarski virusi Informacioni sistemi imaju, kako praksa dokazuje, ugrađenu apriornu osetljivost na penetracione mehanizme kao što su bakterije, virusi – "trojanski konj", "logičke bombe", "crv" ili "zaklopna vrata". Za sad je u "upotrebi" nekoliko desetina hiljada15 virusa razne "namene" (slika 3.6). Od ovih "alatki zanata", genetski zasnovani virusi su možda najpodmukliji. Broj poznatih virusa

Izvor: Symantec 2003. Slika 3.6. Rast broja virusa od 1990. do 2001. godine Zahvaljujući Homerovoj Ilijadi (i Odisejevoj lukavosti), metafora ''trojanski konj'' našla je svoje mesto i u novim informacionim tehnologijama, i to preko mehanizama koji se namerno ili slučajno uvode u računarske sisteme, pretežno sa ciljem da izazovu štetu. Ima više (mogućih) "izvora" virusa: hakeri, organizovane grupe – sajber ratnici za interes države ili neke kompanije koje prodaju antiviursne programe, čak i kompanije koje proizvode i prodaju softver obavezujući korisnike da koriste legalno nabavljen softver, a ne kopije kojim mogu da "pokupe" viruse. Poprilična konfuzija postoji u vezi sa definicijom kompjuterskog virusa. Pored već navedene Spafordove definicije, navešćemo još neke. "Virus" je softverski program koji 15

Prema Symantec-ovom antivirusnom programu ''Norton antivirus 2003'' ovih ''alatki na dan 23.04.2004. godine ima 67.394.

30

može da širi zarazu od računara do računara, koristeći svaki zaraženi računar da bi se umnožavao. Bez ljudske intervencije, virus zaražava domaćina, krijući se, najverovatnije, negde u operativnom sistemu, aplikativnom delu ili uslužnim programima. To je set instrukcija u različitim formama sa različitim ciljevima, ne ograničavaju se na jedan medij i mogu u kratkom roku da evoluiraju. Vredna pažnje jeste i definicija zasnovana na regulama ratnog vazduhoplovstva SAD:16 "Virus je: (1) varijanta trojanskog konja. On se širi (napada fajlove, programe) sa okidačkim mehanizmom (sporadično, iznenada) sa misijom brisanja fajlova ili slanja podataka. Zaštita od virusa je iznad svih kriterijuma. (2) To je sekcija – deo koda uvučen u disk operativni sistem za izvršenje zlobnih namera. Jedna verzija ubačenog koda može da pokreće proces koji može da eliminiše sve fajlove sa diska. Posledice ovog "delanja" mogu da osete mnogi korisnici. Inače, virus na disku postaje rezidualan u memoriji pa se detektuje tako što se, nakon uvođenja novog diska u sistem virus, upiše i na njega. Nacionalni kompjuterski bezbednosni centar SAD kao deo Uprave za nacionalnu bezbednost u Rečniku računarsko-bezbednosnih termina daje definiciju kompjuterskog virusa kao: "To je samošireći trojanski konj, komponovan od delova za određenu svrhu, okidačkog dela i samoširećeg dela". Profesor Fred Cohen sa Univerziteta u Sinsinatiju smatra se prvom osobom koja je (1983) uvela reč "virus" u rečnik računarske terminologije. Njegova definicija je objavljena aprila 1988. u časopisu Computers & Security, North-Holland Publishing Company. ''Virus je program koji modifikuje drugi program tako što se ponaša isključivo kao virus ili stvara novu verziju programa koji se ponaša drugačije od izvornog programa. Virus može da se ponaša kao nosilac bilo kog programskog koda koji napadač želi da koristi. Virus može da se proširi kroz sistem ili mrežu i time izaziva proizvoljne promene u programima i podacima''. Početkom oktobra 1991. godine, 23 predstavnika nekih većih svetskih računarskih centara osnovali su u Briselu Evropski institut za istraživanje računarskih antivirusa (EICAR), kao neproizvodnu asocijaciju. Prva skupština je održana u prisustvu 50 stručnjaka za "parazitske kodove sa autoprostiranjem – (APC)", što je naučni naziv za računarske viruse. EICAR planira da nastavi rad koji je prvobitno preduzela Organizacija za istraživanje računarskih antivirusa (CARO). Neki kompjuterski specijalisti nastoje da razlikuju ''dobroćudne'' od štetnih virusa, i to na bazi štete koje mogu da nanesu. Ipak, i dobroćudni virusi zauzimaju resurse računara i rade stvari koje nisu poželjne, mada nisu štetne. Virusi su subjekti koji i mutiraju u smislu što programeri u odnosu na original dodaju neke šifre koje ne mogu da se otkriju u odnosu na original. Naime, potrebno je manje znanja i prefinjenosti, da bi se izmenio postojeći i stvorio novi virus. Prema tome, dobroćudni virus je predmet koji se uvek može menjati, a time se omogućavaju radnje koje su jako nepoželjne. Kompjuterski virusi se razlikuju od programskih grešaka po tome što su oni posledica namere. 16

Definisali su je Dean Dennis Longley i Michael Shain u knjizi "Data & Computers Security: Dictionary of Standards, Concept and Terms, New York , Stockton Press, 1987; London Macmillan Publishers Ltd. 1987.

31

Definicija kompjuterskog virusa je posebno problematična za zakonodavce. Ona mora biti i jasna osnova zakona potrebna za vođenje postupka protiv kreatora virusa. Posledice delovanja virusa su višestruke: 1. Oštećenje računarskih resursa – potpuna paraliza do čestog isključivanja sistema ili promene u bazama podataka. Sve te posledice se grupišu u tri nivoa: fizički, sintaksički i semantički. Težište bi svakako trebalo da bude na semantičkom oštećenju računarskih resursa, to je ono koje ima uticaj na značenje poruke koju treba da primimo od informacionog sistema (računara) 2. Krađa tajnih podataka, krađa raznih usluga, nadgledanje rada sistema, ubacivanje lažnog saobraćaja u računarsku mrežu, pristup podacima radi ucene 3. Nalaženje drugog računara kojem bi se nanela šteta pod 1. i 2. Virus generišu gotovo isključivo tehnički virtuozi. Prilikom stvaranja virusa, definišu se njegove karakteristike: 1. Posao koji treba da odradi virus 2. Vrsta računara koji treba taj virus da zarazi 3. Vreme rada virusa sa kratkotrajnim periodom aktiviranja, ili spori sa periodom odloženog dejstva 4. Mogućnost otkrivanja virusa koji će objaviti svoje prisustvo ili virus koji je sakriven i teško se otkriva. Odgovori na ova pitanja određuju arhitekturu i osobine strukture virusa, kao i njegovo programiranje. Kada se stvori virus se stvara za određenu svrhu, može da se umnožava i napada nasumice, bez kontrole. Mnogi od antivirusnih produkata mogu da upozore na ilegalnu operaciju, mogu da upozore i na kompjuterski virus, ali ne obavezno, i u svakom slučaju, nagoveštaj o delovanju kompjuterskog virusa ne mora da bude rezultat stvarnog napada virusa. Dosad najčešće poruke ili manifestacije su bile, na primer: — broj fajlova (programi, datoteke itd) na disku se povećava — poruka "1 File(s) copied", pojavljuje se, a nije pozvana odgovarajuća komanda — veličina RAM-a vašeg sistema se smanjuje — vreme i datum uz fajl se menjaju — veličina programa se povećava — program ne može da se pokrene jer ne postoji slobodan prostor u RAM-u — program se presporo izvršava — disk drajv pokazuje da nije moguće upisivanje, niti čitanje tokom tekuće operacije — vreme pristupa disku se drastično povećalo — program se zaustavlja u toku rada — hard disk je izgubio BOOT sektor. U svakom navedenom slučaju potrebno je zaustaviti rad računara, proveriti prethodne korake, utvrditi šta se prethodno radilo da bi se identifikovao mogući uzrok a zatim treba pozvati stručnjaka koji će, verovatno, da reši nastali problem. U svakom slučaju, svaka očigledna abnormalnost može, a ne mora da bude rezultat delovanja virusa. Otuda, pre davanja konačne dijagnoze treba dobro proveriti prethodne postupke pa i moguće pretpostavke u smislu neslanih šala kancelarijskih kolega. 32

Sigurno je da su kreatori virusa pretežno hakeri – zlonamernici. Oni su prvi mogući uzrok pojave virusa. Zbog nemogućnosti da se pouzdano dokaže poreklo virusa (ličnost, institucija, država) zapadni mediji tvrde da su virusi generisani pretežno u istočnoj Evropi (Rusija, Mađarska, Bugarska). Naime, znatiželja korisnika programa u tim zemljama (programi su većinom kreirani na Zapadu – SAD) dovela ih je do takvog nivoa znanja da su u stanju da menjaju mašinske kodove tih programa. Tako stečeno iskustvo je postalo izazov da se generišu novi programi koji su pored korisnih stvari bili u stanju da čine i štetu. Kao drugi uzrok, moguće je da iza pojave virusa bude čisto komercijalan razlog. Firme koje se bave proizvodnjom softvera za tržište, nemoćne da zaštite intelektualnu svojinu, softver kao svoj proizvod, od neovlašćenog kopiranja i same, verovatno, lansiraju viruse da bi na takav način eventualne pirate odvratile od namere neovlašćenog kopiranja i prisili ih da koriste legalne, plaćene, kopije njihovih programa. Štaviše, moguće je da firme koje proizvode antivirusne programe same generišu viruse, a onda "prave" antivirusne programe (koji se moraju kupiti) za "otkriveni" virus. Treći mogući uzrok pojave računarskih virusa može biti i hakersko ratovanje, kao jedan od oblika tzv. informacionog (informatičkog) ratovanja. Ilustracije radi [Hig89a], dajemo primer ''rada'' makroa kreiranog u LOTUS-u 123, koji ima specijalan naziv ''0'' (nula). Automatski se pojavljuje čim se učita radni fajl. Ovaj makrovirus je dizajniran da menja pojedinačne vrednosti u specifikovanoj koloni svaki put kada se tabela učita. Procenat promene ograničen je na vrlo malo područje i malo se menja. Virus se izvršava po danima, napada bilo koju ćeliju radne tabele i menja procenat promene. A 1 2 3 4 5 6 7 8 9

B1

4.435,00 4.500,00 4.950,00 4.600,00 4.350,00 4.475,00 4.850,00 4.750,00 4.750,00 41.660,00

4.634,53 4.500,00 4.950,00 4.600,00 4.350,00 4.475,00 4.850,00 4.750,00 4.750,00 41.859,53

B2 4.634,53 4.635,31 4.950,00 4.600,00 4.350,00 4.475,00 4.850,00 4.750,00 4.750,00 41.994,84

B3 4.634,53 4.635,31 4.950,00 4.655,37 4.350,00 4.475,00 4.850,00 4.750,00 4.750,00 42.050,21

B4 4.634,53 4.635,31 4.950,00 4.655,37 4.350,00 4.694,48 4.850,00 4.750,00 4.750,00 42.269,69

Tabela 3.4. Izmene vrednosti jedne kolone u tabeli kao rezultat ''rada'' makroa ''0'' Tabela pokazuje degradaciju podataka kroz nekoliko dana. Prikazana je radna tabela od devet redova i pet dnevnih kolona kombinovanih od jedne kolone originalne tabele. a) Kolona A je sa originalnim vrednostima podataka. Vrednosti su upisane kao celi brojevi, bez decimala, da bi se lakše uočile promene.

33

b) Kada je radna tabela ''pozvana'' prvi put (prvi dan) posle njene kreacije, prva vrednost (linija 1) promenjena je sa 4.435,00 na 4.634,53, porast je bio za 199,53, kao što je prikazano u koloni B1. Virus je odradio svoj napad na prvoj vrednosti u specifikovanom području. c) Kolona B2 prikazuje drugi podatak promenjen u liniji 2 sa 4.500,00 na 4.635,31. Ova promena je skoro identična sa prvom, s obzirom na to da je tabela pozvana nekoliko sati kasnije istog dana. Naime, makroalgoritam koristi vreme kao parametar i zavisi više od datuma, a manje od sata (u toku dana). d) Kolona B3 sadrži treću promenu koja se desila dan kasnije. Vrednost za promene u liniji 3 je van područja po algoritmu, umesto u toj liniji, promenjena je vrednost u liniji 4. Original 4.600,00 je promenjen na 4.655,37. e) Dva dana kasnije, tabela je opet bila napadnuta. Rezultat je prikazan u koloni B4. Kako je vrednost u liniji 5 van područja predviđenog za promenu, promena je izvršena u liniji 6 sa 4.475,00 na 4.694,48. Za četiri dana od formiranja tabele, suma od devet vrednosti se povećala od 1% do 1,5%. Apsolutna razlika od 609,69 je manja od 1,5% (624,90) od početne sume. Elegantniji algoritam može da izvrši finije promene koje bi se u tom slučaju i teže otkrivale. Dati primer je poučan, jer dokazuje do koje mere (podmuklosti) može da bude štetan virus. Uporedo sa stvaranjem virusa razvijaju se i paketi tzv. antivirusnih programa, ali sa logičnim zakašnjenjem. Naime, u ovom slučaju nalazimo se pred teškim filosofskopraktičnim pitanjem. Da li se može praviti antivirusni program za nepoznati virus? O posledicama (ne)odgovora samo možemo da pretpostavljamo. Skoro dnevno se pojavljuju sve maligniji oblici virusa. Početkom 2004. godine, ocenjeno je da najnoviji virus Mydoom može da bude uzrok najvećeg napada na računare svih vremena (do pojave nove vrste napada). Procenjuje se da je ovaj virus u Kini ''ugasio'' oko 200.000 monitora. Mydoom se, istovremeno, munjevito kopirao u 16 miliona kopija. Iz Kaspersky Labs tvrde da je virus generisan u Rusiji, a pojavio se 26. januara 2004. godine. Prema [Kuk02], data je tabela sa virusima, tipom, vremenom razmnožavanja i veličinom štete koju su izazvali.

34

Virus

Godina

Jerusalem, Cascade, Form

1990.

Concept

1995.

Melissa

1999.

I Love You

2000.

Tip

Vreme razmnožavanja

izvršni fajlovi, boot sekttri godine or Word Macro četiri meseca E-mail, omogućeni Word četiri dana Macro E-mail, omogućeni Visučetiri sata al Basic script

Šteta $50M za sve viruse preko 5 godina $50M $93M do $385M $700M

Tabela 3.5. Virusi prema nekim atributima Inače ''top lista'' virusa od januara 2004.godine, po raširenosti, je sledeća: 1. Mydoom.A 2. Downloader.L 3. Bugbear.B 4. Parite.B 5. Klez.I 6. Runet.A 7. Blaster 8. Blaster.E 9. Bookmar.B 10. Sober.C. Informatička tehnologija po svojoj prirodi, a u suštini reč je o elektronskim (elektromehaničkim) uređajima, ranjiva je na samo sebi svojstven način. 3.4.2. Elektromagnetno zračenje računara Mikročipovi, monitori, štampači i bilo koji drugi elektronski uređaj i komponente emituju elektromagnetne talase. Kao posledica ove emisije može da se desi, zahvaljujući interferenciji, da na svom televizoru “uhvatite” sliku sa komšijskog monitora. Ova pojava je posebno važna za specijalne institucije. Koristeći TEMPEST (Transient Electromagnetic Pulse Emanation Standard) tehnologiju informacija sa bilo koje digitalne mašine može da bude "skinuta" i rekonstruisana obaveštajno korisno. Ova tehnologija je posebno korisna za prihvat informacija koje se nalaze na digitalnom računaru ili se prikazuju na kompjuterskom terminalu.17 Korišćenje TEMPEST-a nije nezakonito u SAD, Kanadi ili Engleskoj. Novembra 1963. godine, Džon Ficdžerald Kenedi, tadašnji predsednik SAD, pravdao je upotrebu ove tehnologije sudbinskim predodređenjem SAD kao stražara na zidovima svetske slobode. TEMPEST je, dakle, skraćenica od Transient Electromagnetic Pulse Emanation Standard – privremeni standard za emisiju pulsno-modulisanog signala. Ovaj, pre svega, defanzivni18 standard je skup stavova u vezi sa elektromagnetnim zračenjem preko kog uređaji mogu da zrače bez kompromitacije informacija koje se nalaze (u) na njima. TEMPEST istovremeno definiše opremu i uslove koji određuju procese koji imaju za cilj 17

Terminal je obično ulazno-izlazna jedinica (računara) a može da bude samo video terminal (VDU), štampač, pa i personalni računar. Ako su poznate mere za zaštitu (defanzivne), one se mogu koristiti i u ofanzivne svrhe.

18

35

da preveniraju kompromitujuće zračenje. Uređaji koji su usklađeni sa ovim standardom nazivaju se TEMPEST sertifikovani uređaji. Međutim, TEMPEST (Transient Electromagnetic Pulse Surveillance Technology) je program američke vlade za evaluaciju elektronske opreme za elektronsko prisluškivanje. Tempest oprema nije legalizovana za civilnu upotrebu. Može se reći da su uređaji za vojne i državne primene (bezbednost) testirani u skladu sa strožim standardima. Navodimo dva tipa standarda: NACSIM 5100 A (SAD) i AMSG 720 B (NATO). Oba standarda su primenljiva na svim delovima računarskog sistema, a ne samo na video jedinice ili terminale. Merne metode i standardi NACSIM nisu poznati izvan Amerike. AMSG standard je specijalan slučaj korišćenja vojnih i državnih aplikacija u zemljama NATO-a. Inače [Int02], prvi američki standard iz 1950. godine, u vezi sa kompromitujućim elektromagnetnim zračenjem (KEMZ), naziva se NAG1A. Kasnije je ovaj standard trpeo izmene kao FS222 i kao FS222A. Konačno, 1970. godine ovaj standard je izmenjen i objavljen kao National Communications Security Information Memorandum 5100 – memorandum o nacionalnoj bezbednosti komunikacija (direktiva za TEMPEST bezbednost), poznatiji kao NACSIM 5100. TEMPEST, prema tome, ima za cilj da uvede standarde koji će redukovati šanse za oticanje osetljivih podataka sa uređaja tokom obrade, prenosa ili čuvanja. Koriste ga vladine agencije (SAD) i preduzimači da zaštite kompjutere i periferale (štampače, skenere, jedinice magnetnih traka, monitore, miševe itd) od prisluškivanja podataka putem kompromitujućeg elektromagnetnog zračenja. Naime, reč je o tehnologiji i merama koje treba da smanje KEMZ. Još, već davne 1985. godine [Eck85], objavljen je rad u kojem je ukazano na mogućnost oticanja podataka sa računara putem elektromagnetnog zračenja sa monitora (Video Display Units – VDU), i to čak komercijalnim uređajima, Slika 3.7. Ovaj rad je značajan zbog toga što dokazuje postojanje KEMZ-a na delovima računarskog sistema.19 Naime, teško je, iz razumljivih razloga, doći do konkretnih dokaza da je moguće prisluškivati podatake na računarima koristeći KEMZ. Posebno su važne nepoznanice nivoa (snaga) signala i distanca na kojoj on može da bude ''korisno'' prisluškivan.

Slika 3.7. Slika na TV ''skinuta'' sa VDU-a 19 I kod nas je to dokazano na savetovanju na Institutu bezbednosti, 1988. godine ''Elektromagnetska kompatibilnost i protivelektronska zaštita računara i računarskih mreža'', o čemu je izdat zbornik radova.

36

Postoji uverenje da je sve što je obazrivo skriveno teško rekonstruisati iz polja zračenja. Verovalo se da je prisluškivanje na digitalnoj opremi moguće samo uz korišćenje profesionalne opreme za detekciju i dešifrovanje. Zbog takvog uverenja digitalni uređaji za obradu informacija imali su srednji ili nizak nivo zaštite. To je, takođe, bio slučaj kod uređaja za prenos privatnih ili poslovnih informacija koji nisu zaštićeni od ovog načina prisluškivanja. Vim Van Ejkov rad rezultat je istraživačkog programa, čiji je nosilac bila Neher Laboratories of the Netherlands PTT. Dobijeni rezultati dokazali su da su navedene pretpostavke bile pogrešne.20 Mada su studije bile ograničene na mogućnost prisluškivanja video-displej jedinica ili terminala, rezultati kristalno jasno pokazuju da je u nekim slučajevima vrlo lako prisluškivati i druge delove računarskog sistema. U slučaju prisluškivanja VDU-a, prema navedenom radu, prislušni uređaji mogu da budu i obični TV prijemnici. Objekat ovog istraživačkog programa nije bilo samo studiranje problema za sebe, već istraživanje metoda za zaštitu od krađe ovakvog vida informacija. U prilogu ovog rada definisan je i metod merenja koji može da se koristi za proveru ozbiljnosti problema prisluškivanja sa individualnih video-displej jedinica. Pronađeno rešenje detaljno je opisano. Fokusirajući se samo na fenomen prisluškivanja, uočavamo da se prisluškivanje koristi u okviru tzv. elektronskog rata. ''Naime, u okviru protivdejstava na sistemima veza prisluškivanjem rada otkrivenih sredstava veze, dolazi se do dragocenih podataka o namerama protivnika. Pored izviđanja i obmanjivanja [Raz71], prisluškivanje je jedno od najčešće primenjivanih protivdejstava na ovim sredstvima.'' Zaključujemo da ova mogućnost ima (negativnih) posledica na metode visoke zaštite informacija. Ovo je posebno važno u slučajevima kada su neke preventivne mere već preduzete kao, na primer, kriptozaštita signala na liniji veze. I pored toga što reagujemo zaštitom protiv prisluškivanja signala sa računara, treba znati da nijedan sistem nije tako savršen, da ni tada nije bez ''slabih'' tačaka. Pošto je relativno jednostavno da se rekonstruiše informacija iz polja zračenja IT, ovaj fenomen može da ima posledice na bezbednost u onim slučajevima kad se zahteva srednji ili niži nivo bezbednosti informacija. Podrazumeva se da su viši nivoi bezbednosti u ovom smislu bez diskusije. Treba imati na umu da je moguće prisluškivati bankarske ili neke slične transakcije koje se obavljaju pomoću personalnog računara. Tako je moguće da vaš komšija kopira informacije pokazane na terminalu za vreme ovih aktivnosti (tj. podatke o finansijskoj situaciji) korišćenjem samo njegovog TV prijemnika. Sve ovo govori da problem prisluškivanja zahteva rangiranje nivoa bezbednosti informacija u opsegu od strogo poverljivih do privatno osetljivih. 3.4.3. Kliper čip Klintonova administracija21 je, u svoje vreme, predložila da se Clipper čip22 iskoristi i za sprovođenje elektronskog nadzora. Kliper čip je zasnovan na pretpostavci da vlada ima 20 Prema nosiocu istraživanja efekat oticanja podataka sa video terminala (ekrana) računara naziva se Van Ejk efekat. 21 Predsednik SAD sa kraja dvadesetog veka.

37

pravo da prisluškuje privatne razgovore. Svojevremeno, pri pokušaju Majkrosofta da se preko Internet eksplorera realizuje evidencija korisnika tako što bi se evidentirala i konfiguracija računara preko dva fajla CONFIG.SYS i AUTOEXEC.BAT, dokazano je da je moguće nadzirati rad korisnika putem javne računarske mreže. Podrazumeva se da onaj ko se prihvati nadzora neće dozvoliti ni da se nasluti da on to radi i obratno, onaj ko otkrije da je nadziran, nastojaće da uzvrati. Pre svega, nastojaće da svoje otkriće što bolje prikrije. Kliper čip je uređaj iza kog stoji američka vlada. Ugrađen je u računar i omogućuje da se kriptuju sadržaji na računarima, kao i sadržaji tokom komunikacije između računara. Konkretno, ako se komunicira e-mail-om, faksom, ako se prenose podaci... u biti sve će biti automatski kriptovano i dekriptovano. Načelno, svako bi bio onemogućen da čita ovakve sadržaje osim – američke vlade. Kliper posredno omogućuje vladinim službenicima da dekriptuju svaku "uhvaćenu" poruku. Naravno, ovo se radi na osnovu zakonskog ovlašćenja. Prema tome, apsolutna tajnost ne postoji. Zagovornici ove mogućnosti pravdali su je potrebom za nadzor potencijalnih terorista kao i njihove komunikacije putem javne računarske mreže, mada 99% komunikacija među ljudima odvija se posredstvom klasične telefonske linije (glas, faks, podaci), kao potrebu u prevenciji (organizovani kriminal, droga, terorizam, kidnaperi, pa čak i tzv. napredniji – belookovratnički kriminal) štaviše, navode se i primeri kad je elektronski nadzor prevenirao i u nacionalnoj bezbednosti. Nadzor se ipak koristi u funkciji otkrivanja namere. Prema tome, broj uhapšenih, optuženih i okrivljenih na osnovu nadzora je zanemarljiv. Priča o kliper čipu počinje sa "Computer Securities Act"-om iz 1987. godine koji je dopuna "Federal Property and Administrative Services Act"-a iz 1949. godine. U osnovama istorije kliper čipa navodi se da je, u suštini, reč o razvoju bezbednosnog standarda za nevojne računare. Aprila 1993. godine, Bela kuća i NIST (National Institute of Standards and Technology) objavljuju novu kriptošemu koja je imala za cilj zaštitu od "mekog" – belookovratničkog kriminala ali i kriminalnih radnji vezanih, pre svega, za distribuciju i uživanje droge i terorizam. Prema tome, pojavio se i međunarodni problem. Naime, američka vlada može preko kliper čipa da "štiti" američke građane od upada (nadzora) sopstvenih građana a svakako i od građana drugih država. Postavlja se pitanje zašto kliper čip ne bi koristio neko i u inostranstvu – van SAD. "Rešenje" je da se za svaku državu posebno obezbedi kliper čip sa drugim ključem!? Znači, zaštićeni ste od svih – osim američke vlade.

22 Amerikanci su izgleda paranoidno "opsednuti" prisluškivanjem pa i na Internetu. U "Politici" od 24. jula 2000. godine objavljen je članak o "Karnivoru" – sistemu za policijsko "njuškanje" na Internetu. "Karnivor navodno izdvaja sumnjive poruke iz glavnog toka informacija koje protiču kroz servis nekog Internet provajdera... Karnivor predstavlja jednu od inicijativa Klintonove administracije željne da obezbedi obaveštajnim službama pravo na prisluškivanje onlajn sveta... pa sadašnja adminstracija želi da očuva sposobnost kontrolisanja kriminalnih aktivnosti i u novim okolnostima.''

38

4. MODELI BEZBEDNIH INFORMACIONIH SISTEMA U prethodnoj glavi idetifikovali smo napade na informacione sisteme. U ovoj glavi biće dat strukturni model bezbednog informacionog sistema, prema [Muf79] i primer organizacionog modela bezbednog informacionog sistema prema [Rod01a]. Do sada se moglo zaključiti da su opasnosti za IS ozbiljne i da slučajno ili namerno izazvane štete mogu da budu nesagledive po političkim, organizacionim, materijalnim i najzad – finansijskim efektima. Jasno je da protiv svih tih opasnosti treba uvoditi stalno nove, pre svega preventivne mere. Najjednostavniji problem za rešavanje bio bi kada bi svaki korisnik imao IS sa isključivo svojim (ličnim) programima, sa privatnim podacima. U tom slučaju, svi objekti u sistemu su tako zaštićeni da im nijedan drugi korisnik, koji nije njihov vlasnik, nema pristup. Ovakav IS omogućuje bezbednost metodom potpune izolacije. Međutim, u realnosti se mora omogućiti široka saradnja među programima, standardnim sistemskim rutinama, među korisnicima na klijentskim računarima itd. Tu saradnju treba da karakteriše potpuna kontrola rada sistema i korišćenja svih njegovih komponenata. S jedne strane, programe i podatke treba da koriste svi oni kojima su potrebni i samo tako se opravdavaju napori i sredstva uloženi u njihovo kreiranje i održavanje. S druge strane, kooperacija treba da bude dobrovoljna a zaštitne mere da garantuju bezbednost privatnih i poverljivih podataka i programa i posebno da kontrolišu upotrebu zajedničkih podataka samo pod uslovom ukoliko to njihovi vlasnici prihvataju. Na osnovu prethodnog dolazi se do važnog zaključka [Muf79]: zaštitne mere moraju imati širok spektar delovanja. S jedne strane, treba da omoguće kompletnu izolaciju informacija u IS, a s druge strane, najširu saradnju korisnika, sa svim varijantama koje se nalaze između ove dve krajnosti. Da bi se rešio problem potpune bezbednosti IS, potrebno je razviti apstraktnu teoriju koja će biti dovoljno formalna da može da reši ne samo probleme iz prošlosti nego i potencijalne probleme u budućnosti. Za razvoj takve teorije, potrebno je najpre definisati formalni IS i pomoću njega razmotriti aspekte bezbednosti rada IS. Formalni model je struktura na određenom nivou apstrakcije.

4.1. Strukturni model bezbednog informacionog sistema Pretpostavimo da sistem bezbednosti IS samo kontroliše kreiranje, upotrebu i brisanje različitih objekata u sistemu, posebno podataka sa programima i podacima. Spektar delovanja tog mehanizma uključuje sve varijante, od potpune izolovanosti rada programa do kompletne kooperacije i zajedničkog pristupa do svih onih komponenata potrebnih za tu kooperaciju. U sklopu tog spektra može se identifikovati sedam različitih aspekata zaštite, svaki od njih sa sve većim stepenom kooperacije među programima i podsistemima i svaki od njih sve teži i složeniji za realizaciju: 1. Zajednička upotreba kopija programa i datoteka 2. Zajednička upotreba originalnih programa i datoteka 3. Zajednička upotreba programskih sistema i podsistema 4. Omogućavanje saradnje posebnih, tzv. uzajamno nepoverljivih podsistema 5. Kompletno izolovana obrada 6. Rad tzv. ''podsistema bez memorije'' – onih koji ne menjaju sadržaj datoteka ili druge programe kao rezultat svog izvođenja

39

7. Rad testiranih podsistema – onih čija je tačnost proverena i garantovana. Uočavaju se dve logičke strukture u datoj listi. Prva logička struktura odnosi se na veličinu komponenata informacionog sistema. U ovom slučaju razlikuju se dve grupe: programi i programski podsistemi. Pojam program je intuitivno jasan i zasad neće biti definisan. Programski podsistem je, na primer, skup određenih rutina koje omogućavaju izvođenje i kompajliranje korisnikovih programa pisanih u bilo kom programskom jeziku. Takav podsistem može da bude, na primer, asemblerski programski podsistem koji se sastoji od makroprocesora, asemblera, asemblerskih rutina i dinamičkog loadera. Drugi primer može da bude sistem za dinamičko ispravljanje grešaka koji sadrži razne rutine za listanje pojedinih delova programa, menjanje lokacija u memoriji, uspostavljanje tačaka prekida izvođenja (kontrolne tačke), inicijaliziranje ponovnog izvođenja itd. Druga logička struktura iz date liste odnosi se na internu strukturu programa i deli se takođe u dve grupe: u prvu grupu spada zaštita koja je irelevantna od interne programske strukture (nivoi od 1–4), dok nivoi od 5–7 uglavnom zahtevaju analizu unutrašnje strukture programa da bi se utvrdio njihov način rada. Ove dve grupe mogle bi se nazvati i eksterno, odnosno interno orijentisana zaštita. Osim toga nivoi od 5–7 još uvek predstavljaju probleme čije rešavanje zahteva dodatne analize koje zalaze u metode strukturnog programiranja, serijski i rekurzivno upotrebljivih rutina, teorije kompajliranja itd. Uočava se, takođe, da se bavimo samo tehničkim aspektima bezbednosti IS. To nije zbog toga što su oni važniji od ostalih faktora bezbednosti (socijalnih, zakonskih, organizacionih itd), nego zbog toga što im je olakšan egzaktni pristup. Sigurno je da tehničke mere zaštite ne pružaju potpunu bezbednost IS i moraju da budu pokrivene i drugim merama. Jedna od aktivnosti u kreiranju bezbednog IS jeste specificiranje osnovnih komponenata i njihovog međudelovanja. Osnovne komponente su one koje treba da budu zaštićene i one protiv kojih treba da se organizuje zaštita. Potrebna su takođe i pravila koja definišu kako pojedine od tih komponenata deluju na ostale komponente u sistemu. Već ovde se uočava određen stepen formalizacije, jer više se ne govori o programima, rutinama, datotekama itd, nego jednostavno o opštim komponentama IS bez neke njihove konkretne interpretacije. Time se čini prvi i najvažniji korak ka realizaciji formalnog modela IS. Pored izdvajanja pojedinačnih značajnih komponenata, važno je i obezbediti da svaki proces u sistemu ima jedinstvenu identifikaciju, koju mu mehanizam bezbednosti dodeljuje u momentu kreiranja procesa. Na taj način nemoguće je da procesi izvode one akcije koje im nisu dozvoljene, a identifikacije mogu biti korišćene i za klasifikovanje procesa u tzv. uzajamno nepoverljive podsisteme. 4.1.1. Model Strukturni model bezbednog IS ima tri grupe komponenata. Prva grupa je skup objekata, pri čemu se objektom naziva svaka komponenta IS koja može da bude korišćena i do koje pristup mora da bude kontrolisan. To mogu da budu

40

''pasivni'' elementi sistema, (oni elementi koji ne menjaju ostale komponente), kao što su strana u virtuelnoj memoriji (blok u glavnoj memoriji, datoteka ili hardverske jedinice magnetnih traka itd). Objekti takođe mogu da budu i ''aktivne'' komponente sistema (one komponente, koje mogu da menjaju druge komponente), kao što su programi, rutine, funkcije, kontrolne sekcije, instrukcije ili sami korisnici. Svaki objekat može da se koristi i menja na razne načine i sve te aktivnosti treba da budu pod strogom kontrolom. Svakom objektu u sistemu pridružena je njegova identifikacija, označena sa ''O'', koja mu se dodeljuje u momentu njegovog kreiranja. To može da bude naziv za datoteku, lozinka za korisnika ili vreme za sistemski sat. Svi objekti će biti raspoznavani isključivo pomoću njihove jedinstvene identifikacije. Druga grupa komponenata modela je skup subjekata, pri čemu je subjekt isključivo aktivna komponenta u informacionom sistemu i koji može da zahteva pristup do raznih drugih objekata. Subjekat u modelu će uvek biti definisan kao uređen par (proces, domen) gde proces predstavlja niz instrukcija (odnosno akcija koje one označavaju), a domen je skup uslova pod kojima se taj niz instrukcija izvodi. Ovakva definicija subjekta može u isto vreme da bude i formalna definicija programa u računaru. Shodno tome, jedan isti program koji je u korisnikovom modu predstavlja različit subjekt od tog programa u privilegovanom modu, jer su promenjeni uslovi izvođenja programa (promenjen je domen). Subjekti u modelu će biti označavani sa ''S''. Treća grupa je skup pravila koja regulišu manipulisanje objektima od strane subjekata. Ta pravila prvo moraju da budu jednostavna, ali istovremeno nedvosmislena. Treba da budu kompletna i da ne dozvoljavaju neautorizovane akcije. Najzad, treba da budu i fleksibilna u smislu menjanja, dodavanja ili brisanja novih i starih subjekata i objekata. Najvažnija pretpostavka za rad modela jeste da svako korišćenje pojedinog objekta mora da bude kontrolisano i taj proces ne sme da se oslanja ni na kakva pravila iz prošlosti ili ''logičke'' zaključke. Time se misli, na primer, da ukoliko je nekom subjektu dozvoljena upotreba nekog objekta u datom trenutku, on ima to pravo ne zato što ga je imao i ranije, nego to pravo je, u stvari, rezultat provere u trenutku postavljanja zahteva za korišćenje objekta. Svi tipovi korišćenja objekata od strane subjekata u jednom momentu formiraju tzv. stanje bezbednosti sistema. Tako se sistem nalazi u jednom (i samo jednom stanju) bezbednosti i nijedno od tih stanja ne sme da bude uzajamno protivrečno. Tako, na primer, ako se u sistemu nalaze samo jedan subjekt (program) i samo jedan objekt (datoteka) i ako programu može da bude dozvoljeno ili da čita ili da menja datoteku, onda sistem ima dva stanja bezbednosti. Naravno, njihov broj se sa povećanjem subjekata i objekata brzo povećava. U vezi sa pojmom stanja bezbednosti sistema javljaju se tri problema: kako predstaviti pojedina stanja, kako obezbediti korišćenje objekata od strane subjekata samo u skladu sa definicijom trenutnog stanja bezbednosti i kako prelaziti iz jednog stanja bezbednosti u drugo bez opasnosti da sistem dođe u nesigurno stanje. U vezi sa prvim problemom biće definisana tzv. matrica pristupa ''A'' za sve subjekte u sistemu. Njeni redovi će odgovarati subjektima u modelu, a kolone objektima. Pojedini elementi te matrice, označeni sa A(S,O), koji za dati subjekt S i dati objekt O definišu dozvoljene načine korišćenja objekta O od strane subjekta S, nazivaju se atributi pristupa i biće označeni sa a. Tako, ako je A (S,O) = a, tada se kaže da ''S ima pravo a na O''. Primer jedne takve matrice dat je na Slici 4.1.1.

41

SUBJEKTI

OBJEKTI Subjekti S1 S2 S3

S1 Bl, I

S2

Datoteke S3

D1 Č, P

S Br

D2 D M L

Jedinice J1 T

J2 T

R

Slika 4.1.1. Matrica pristupa Bl – blokiranje I – izvođenje Z – zaustavljanje Č – čitanje P – pisanje Br – brisanje

M – modifikovanje L – listanje T – traganje D – dodeljivanje R – rezervisanje

Drugi način predstavljanja matrice pristupa sa Slike 4.1.1. prikazan je na Slici 4.1.2, ovoga puta u obliku dijagrama, koji se naziva dijagram pristupa. Svaki čvor dijagrama predstavlja subjekt ili objekt u sistemu. Strelice označavaju ''pravac'' međudelovanja, a oznake na njima vrstu tog međudelovanja. Svakom objektu u informacionom sistemu pridružen je poseban kontrolni program koji se naziva monitor i koji kontroliše pristup do tog objekta. Ta kontrola se izvodi na sledeći način: 1. Subjekat S zahteva pristup do objekta O na način a 2. Operativni sistem kreira trojku (S,O,a) i dostavlja je monitoru za objekat O 3. Monitor upoređuje atribut pristupa A(S,O) iz matrice pristupa sa primljenim zahtevom a 4. Ukoliko se a javlja kao jedan od atributa, pristup je dozvoljen, u suprotnom je odbijen.

42

traženje

čitanje pisanje

S1

D1

J1

blokiranje izvođenje

traženje

SS

modifikovanje

zaustavljanje

D2

J2

rezervisanje

S3

listanje

brisanje Slika 4.1.2. Dijagram pristupa Može se primetiti da se odobravanje ili odbijanje pristupa do nekog objekta vrši u samom momentu zahteva, dakle, dinamički. Opšta šema takve kontrole je data na Slici 4.1.3.

43

Subjekat: S Objekat: O Zahtev: a

Trojka (S, O, a)

Monitor za O Odbijanje

Odobravanje Slika 4.1.3. Kontrola pristupa

Važno je napomenuti da jedino zaštitni mehanizam formira i dodeljuje identifikacije svim subjektima i objektima i one ne smeju da budu menjane od strane samih subjekata. Te identifikacije su zapravo memorisane u matrici pristupa i, prema tome, nemogućnost menjanja identifikacije znači istovremeno nemogućnost pristupa toj matrici. To je i osnovna pretpostavka modela: nijedan subjekat ne može da menja nijedan elemenat matrice pristupa i na toj pretpostavci se i bazira cela zaštitna struktura. Prema tome, korektnost te strukture zavisi od korektnosti kontrolnih monitora koji mogu da manipulišu matricom pristupa. Do sada je diskutovano samo o korišćenju te matrice, ali ne i o njenom modifikovanju. Pošto je matrica pristupa u određenom smislu i objekat u sistemu i ona ima svoj monitor. To je program koji može da čita i menja atribute zaštite i to je jedini program kome je to dozvoljeno. On može da prenosi, prihvata ili da briše pojedine atribute po želji subjekata, ali samo uz odgovarajuću autorizaciju. U svrhu određivanja autorizacije definišu se dva posebna atributa pristupa: ''vlasnik'' i ''kontrola'' i pojam kopiranja (označen zvezdicom uz atribut). Subjekat ima atribut ''vlasnik'' u matrici pristupa u odnosu na neki objekat ukoliko je on i kreirao taj objekat. Ukoliko subjekat ima atribut ''kontrola'' u odnosu na neki objekat, on može da dodeljuje ostale atribute pristupa do tog objekta drugim subjektima, može da ih uskraćuje ili da briše objekat iz sistema. Primećujemo da atribut ''vlasnik'' povlači automatski atribut ''kontrola''. Prema tome, proširena matrica pristupa može da izgleda kao na Slici 4.1.4.

44

SUBJEKTI

OBJEKTI Subjekti S1 S2 S3

S1 K

S2 V, Bl, I K

S3 V,K Z K

Datoteke D1 Č*, P* V Br

D2 D M V,Br

Jedinice J1 T V R

J2 V T*

Slika 4.1.4. Proširena matrica pristupa Bl – blokiranje Z – zaustavljanje M – modifikovanje Č – čitanje P – pisanje Br – brisanje R – rezervisanje

I – izvođenje L – listanje T – traganje D – dodeljivanje K – kontrola V – vlasnik

Uočava se da svi dijagonalni elementi imaju atribut ''kontrola'', što je i prirodno. Neki od ostalih atributa su novi, a neki se javljaju sa osobinom kopiranja. To znači, na primer, da dozvola za čitanje datoteke Di koju Si poseduje, može da bude dodeljena i drugim subjektima. Subjekat Si može takođe da dozvoli da neki njegovi atributi koji se odnose na izvestan objekat O budu dodeljeni drugom subjektu Sj na zahtev tog subjekta. To je šematski prikazano na Slici 4.1.5

Zahtev

Sj

Si

Odobrenje Slika 4.1.5.a Prenos atributa pristupa

45

Si

Sj

а

О

Slika 4.1.5.b Dodeljivanje atributa pristupa Sa Slike 4.1.5. može da se uoči razlika između prenosa i dodeljivanja atributa pristupa. Kod prenosa atribut ''a'' postaje stalan za subjekat Sj, dok prilikom dodeljivanja on traje samo dok traje i subjekat Si. To u neku ruku predstavlja nadgledanje od strane subjekta Sj na koji način subjekat Sj koristi objekat O. Takođe je potrebno pravilo da ako subjekat poseduje neki objekat (atribut ''vlasnik''), onda on može da kontroliše i menja pojedine atribute pristupa tom objektu koji su dodeljeni drugim subjektima. Sa Slike 4.1.4. vidi se da subjekat S2 koji je vlasnik datoteke D1 može da menja atribute ''čitanja'', ''pisanja'' ili ''brisanja'' koje poseduju subjekti S1 i S3. Naravno, ukoliko subjekat poseduje neke objekte, onda je njemu dozvoljeno da čita njihove atribute zbog kontrole i menjanja i za to je potrebno definisati posebno pravilo. Naravno, to čitanje se izvodi preko monitora matrice pristupa. Najzad, potrebno je u sistemu kreirati nove i brisati stare subjekte i objekte, tako da je kompletna lista operacija za manipulisanje matricom pristupa data u Tabeli 4.1.1.

46

Pravilo P1

Autorizacija u A(S0, O) ⎧a *⎫ PRENOS ⎨ ⎬ u S, O ⎩a⎭

Komanda (od S0) a*

P2

⎧a *⎫ DODELA ⎨ ⎬ u S, O ⎩a⎭

P3

⎧a *⎫ BRISANjE ⎨ ⎬ iz S, O ⎩a⎭

P4

W : = ČITANJE S, O

P5

KREIRANJE OBJEKTA O

------------------

P6

BRISANJE OBJEKTA O

''Vlasnik''

P7

KREIRANJE SUBJEKTA S

------------------

P8

BRISANJE SUBJEKTA S

''Vlasnik''

''Vlasnik'' ''Kontrola'' u A (S0, S), ''Vlasnik'' ''Kontrola'' u A (S0, S), ''Vlasnik''

Operacija ⎧a *⎫ Unošenje ⎨ ⎬ u A (S, O) ⎩a⎭ ⎧a *⎫ Unošenje ⎨ ⎬ u A (S, O) ⎩a⎭

⎧a *⎫ Brisanje ⎨ ⎬ iz A (S, O) ⎩a⎭ Kopiranje A (S, O) u W Dodavanje kolone za O u A; ''Vlasnik'' u A (S0, S) Brisanje kontrole za O i A Dodavanje reda za S; izvođenje P5; unošenje ''Kontrola'' u (S, S) Brisanje reda za S; izvođenje P6

Tabela 4.1.1. Komande za manipulisanje matricom pristupa Opis pravila iz Tabele 4.1.1. je sledeći: Pravilo P1 omogućuje subjektu da prenose određeni atribut pristupa koji on poseduje za bilo koji objekat na bilo koji drugi subjekat, ukoliko postoji dozvola za kopiranje (označena sa ''*'') i ta dozvola može, a i ne mora, da bude prenesena zajedno sa atributom pristupa. Pravilo P2 predstavlja privremeno dodeljivanje atributa, a ne trajno prenošenje, pravilo P3 predstavlja brisanje atributa od strane vlasnika, a P4 čitanje atributa iz matrice u kontrolni vektor w. Pravila od P5—P8 predstavljaju kreiranje novih i brisanje starih subjekata i objekata. Primećuje se da subjekat može da ima atribut ''vlasnik'' za bilo koji objekat, a atribut ''kontrola'' samo za one objekte koji su istovremeno i subjekti. Takođe se pretpostavlja da je svaki subjekat kontrolisan od najviše jednog subjekta, koji je onda u hijerarhiji subjekata iznad njega, iako se mogu uvoditi i višestruke kontrole. Ukoliko subjekat ima atribut ''vlasnik'' za drugi subjekat, on može da menja atribute tog subjekta (koji je u suštini njegov objekat) pa specijalno može i sam sebi da dodeli bilo koji atribut. Tako je atribut ''vlasnik'' najviši i najmoćniji i on istovremeno implicira sve ostale atribute pristupa. Takođe je jasno da su svi atributi bezuslovni, a naravno, mogu se uvesti i uslovni koji će biti označeni sa (a, k): atribut pristupa a je dodeljen subjektu S samo ako je k > 0 i svaki pristup reducira k za jedan. Tako je pristup dozvoljen uslovno, samo k puta. Modifikacije matrice pristupa u slučaju kreiranja novih subjekata i objekata u sistemu su sledeće: 47

Formiranje novih objekata koji nisu istovremeno i subjekti vrlo je jednostavno. U tom slučaju na celu matricu dodaje se još jedna kolona. Subjekat koji kreira novi objekat koristi pravilo P5 i dobija atribut ''vlasnik'' za novi objekat. Posle toga, može se koristiti pravilo P2 i može se dozvoliti upotreba novog objekta i drugim subjektima u sistemu. Brisanje objekta (koje može da vrši samo vlasnik i koje odgovara pravilu P6) odražava se kao brisanje sadržaja odgovarajuće kolone u matrici pristupa. Formiranje novog subjekta zahteva kreiranje nove kolone i novog reda u matrici. Kreator automatski dobija atribut ''vlasnik'', a novi subjekat atribut ''kontrola'' za samoga sebe. Brisanje subjekta, dozvoljeno samo njegovom vlasniku, odražava se na matrici pristupa tako da se briše sadržaj odgovarajuće kolone. U skladu sa već ranijom definicijom subjekta (kao uređeni par (proces, domen)), postoje dve mogućnosti kako može da se kreira novi subjekat: ili postojeći proces menja domen, ili se kreira novi proces u nekom domenu. U vezi s prvim načinom, proces mora da bude autorizovan da menja domen, jer se menjanjem domena menjaju i atributi pristupa. Ukoliko proces P1 prelazi iz domena D1 u domen D2, to odgovara kreiranju novog subjekta S2 = (P1, D2), pri čemu subjekat S1 = (P1, D1) još uvek egzistira, ali se smatra pasivnim. Ukoliko model pretpostavlja uslov da svaki subjekat ima samo jednog vlasnika, u tom slučaju binarna relacija ''vlasnik'' definiše hijerarhiju subjekata. Sa Slike 4.1.4. može se uočiti formirana hijerarhija subjekata kao na Slici 4.1.6. S1

S3

S2

Slika 4.1.6. Hijerarhija subjekata Na slici 4.1.6. S1 se naziva prethodnik od S2 (i od S3), dok su subjekti S2 i S3 njegovi naslednici. Koristeći pravilo P1, subjekat može da prenosi atribute pristupa samo na svoje naslednike, pravilom P2 može svom nasledniku da dodeljuje atribute, iz pravila P3 vidi se da subjekat može da briše bilo koji atribut naslednika, a pomoću P4 može da ispituje te atribute. Ovakva hijerarhija, pored ostalog, služi da bi se obezbedilo to da naslednik ni u kom slučaju nema veća prava pristupa nego njegov prethodnik.

48

Za čitavu hijerarhiju subjekata može se definisati jedan subjekat koji nema prethodnika. On se naziva univerzalni subjekat i ima vlasništvo nad svim ostalim subjektima, prema tome, i sve moguće atribute pristupa. Na početku tačke 4.1. navedeno je sedam aspekata ili nivoa zaštite od kojih su za sada od praktične važnosti samo prvih pet. Opisani model rešava prva četiri aspekta pomoću matrice pristupa. Pri svakom zahtevu za korišćenjem nekog objekta konsultuje se matrica pristupa i zahtev se odobrava ili odbija. Pri tome mogu svi zahtevi (osim zahteva vlasnika) da budu a priori odbijeni, što odgovara kompletno izolovanoj obradi, ili mogu da se odobravaju u skladu sa uslovima specifikovanim u matrici pristupa, što odgovara ostalim nivoima zaštite. Preostaje još da se vidi kako opisani model rešava probleme saradnje tzv. međusobno nepoverljivih podsistema i programa. Kao primer međusobne nepoverljivosti mogu se uzeti dva korisnika koji su u nekoj vrsti međusobne konkurencije. Na primer, prvi korisnik želi da računa određene statističke vrednosti i za te testove koristi glavni program koji poziva pomoćnu rutinu koja generiše podatke i kreira odgovarajuću datoteku. Na istoj mašini postoji statistički program koji pripada drugom korisniku. Zbog uzajamne konkurencije u radu, oba korisnika žele da budu oprezni sa svojim podacima i programima. Vlasnik statističkog programa ne želi da mu program bude ukraden i odobrava samo upotrebu, a ne i listanje programa. Prvi vlasnik želi da bude siguran da program za statističku analizu slučajno ne poziva njegov glavni program i tako otkrije i ostale rezultate njegovog rada. Uzajamni odnos između ova dva korisnika (i njihovih programa na sistemu) naziva se međusobna nepoverljivost. Svaki od njih veruje drugome toliko koliko je potrebno za pomenute statističke analize i ništa više. Da bi se rešio problem ovakve saradnje, uvodi se novi atribut pristupa koji se naziva ''indirektan'' pristup. Neka subjekat S1 poseduje objekat S (koji je takođe i subjekat) i koji on želi zajednički da koristi sa subjektom S2. Međutim, S1 je međusobno nepoverljiv sa S2 i želi da ima pravo da u bilo kojem momentu briše sve njegove atribute pristupa. Može da se javi i slučaj da S (kao subjekat) ima pristup do nekog objekta O i da S2, iako ima dozvoljen pristup do S, ne treba da ima pristup i do objekta O. Takav atribut pristupa subjekta S2 do subjekta S naziva se ''indirektan''. Ukoliko jedan subjekat ima indirektan pristup do drugog, tada prvi može da koristi objekte na isti način kao i drugi, i on može da čita atribute drugog subjekta (kao njegov ''inidirektni'' prethodnik), ali ne može da ih menja ili dobije za sebe. Takva veza se naziva labilna i ona je prikazana na Slici 4.1.7.

49

S1

S2

''Vlasnik''

''Indirektno''

S

а

О Slika 4.1.7. Indirektan pristup Vraćajući se ponovo na primer statističke analize, Slika 4.1.7. ima sledeću interpretaciju: prvi korisnik ima glavni program (S1), koji poziva rutinu za generisanje podataka (S) i koja kreira izlaznu datoteku (O). Program drugog korisnika (S2) može da poziva samo rutinu za kreiranje podataka (i stoga ima i pristup u izlaznu datoteku), ali ne i glavni program prvog korisnika. Da bi uveo ''indirektan'' atribut pristupa, monitor objekta mora da se neznatno modifikuje. On sada radi na sledeći način: 1. S2 inicijalizira indirektan pristup do objekta O preko subjekta S na način a 2. Sistem kreira trojku (S2, S—S1, a) i dostavlja je monitoru objekta O 3. Monitor koristi matricu pristupa da bi odredio da li je atribut ''indirektan'' u A (S2, S) i atribut a u A (S, O); ukoliko jeste, pristup se odobrava. Time je završen opis formalnog modela koji služi za razvijanje teorije bezbednih sistema. Stanje bezbednosti sistema definiše se pomoću matrice pristupa. Pokazano je takođe kako ovaj model rešava probleme korišćenja sistemskih komponenata što je zahtevano na prvih pet nivoa u karakteristikama modela. Ostaju još da se razmotre različiti načini realizacije ovog modela. Na kraju će biti navedeno nekoliko primera koji imaju neke od navedene karakteristike modela. Pre toga, potrebne su dve napomene. Najpre, može se primetiti da je model veoma jednostavan, jer ograničavajući njegovu kompleksnost, lakše se mogu proučiti njegove osnovne karakteristike. Model je i prihvatljiv, jer dozvoljava široku nadgradnju (višestruki prethodnici u hijerarhiji subjekata, višestruki univerzalni subjekti, stalni ili privremeni objekti itd). Druga napomena odnosi se na spektar bezbednosti informacionog sistema koju ovaj model pruža. On, naime, nije kompletan. Ne postoji 50

zaštita za komunikacione linije, a nije predviđena ni mogućnost greške u sistemu. Što se tiče definisanja i kontrole rada uzajamno nepoverljivih subjekata, i ono je često široko. Međutim, model je u suštini tehničke prirode i mora da se kompenzuje i drugim merama. Još jednom se uočava da kompletno rešenje za probleme bezbednosti informacionih sistema mora da obuhvati zaštitu i drugih komponenata.

4.2. Primeri organizacionog modela bezbednog informacionog sistema Na osnovu [Sta99] i [Rod01a] daćemo dva primera modela bezbednog informacionog sistema. Modeli su urađeni korišćenjem UML (Unified Modeling Language) metodologije. Za prikaz će se koristiti dijagram za slučaj korišćenja (use-case diagram). Razmatra se informacioni sistem, česta pojava u praksi, koji integriše autonomni informacioni sistem (AIS) i javni informacioni sistem (JIS)23, to je tzv. informacioni sistem integracije (ISI).

-End10 *

-End11

-End5

-End7 *

*

*

Sanatori

ISI -End9

* *

*

-End12

Sanacija ISIja

«extends»

-End8

Degradacija ISIja

«extends»

Degradacija i odbrana spolja

* Napad spolja

-End1

-End4

-End6

*

-End3

«extends» Odbrana ISI-ja

*

-End2

*

* Bezbednosni deo ISI-ja

Zlonamernik van sistema

Slika 4.2.1. Dijagram slučajeva korišćenja (use case diagram) za napade i odbranu preko ISI Primećujemo da je "zlonamernik" stereotip tipa "business actor", mada može biti i tipa "business worker". Naime, štetočina može biti i nehotično lice van ili/i u sistemu, nije mu "zlonamernik", osnovno "zanimanje" (business actor), mada može i biti osnovno (business worker). Tekstualni opis se daje za svaki slučaj korišćenja. 23

Misli se, pre svega, na Internet.

51

Slučaj korišćenja: napad spolja Kratak opis: zlonamernik van sistema je pokušao (pokušava) napad Učesnici: zlonamernik van sistema Uslovi koji moraju biti "zadovoljeni" pre izvršavanja: mora biti uspostavljena konekcija AIS sa JIS Opis: zlonamernik van sistema pokušava da obiđe bezbednosni deo ISI i u mogućnosti je da izazove degradaciju AIS Izuzeci: napad ne mora biti sa negativnim posledicama Uslovi koji moraju biti "zadovoljeni" posle izvršavanja: zlonamernik je izvršio (vrši) svoju "misiju" Bezbednosni deo ISI nije reagovao. Dograditi bezbednosni deo ISI Slučaj korišćenja: degradacija ISI Kratak opis: "mere" koje prema IS "preduzima" zlonamernik van sistema Učesnici: zlonamernik van sistema, ISI Uslovi koji moraju biti "zadovoljeni" pre izvršavanja: mora biti uspostavljena konekcija AIS sa JIS. Slaba je odbrana AIS Opis: zlonamernik van sistema obilazi bezbednosni deo ISI i realizuje prekid, preticanje, modifikaciju i fabrikaciju Izuzeci: podrazumeva se da je funkcionisao bezbednosni deo ISI Uslovi koji moraju biti "zadovoljeni" posle izvršavanja: zlonamernik van sistema je izvršio (vrši) svoju "misiju". Bezbednosni deo ISI nije reagovao. Treba dograditi bezbednosni deo ISI Slučaj korišćenja: odbrana ISI Kratak opis: zlonamernik van sistema je pokušao (pokušava) napad, bezbednosni deo ISI je reagovao Učesnici: zlonamernik van sistema, bezbednosni deo ISI Uslovi koji moraju biti "zadovoljeni" pre izvršavanja: mora biti uspostavljena konekcija AIS sa JIS. Jaka je odbrana AIS Opis: zlonamernik van sistema nije obišao (ne može da obiđe) bezbednosni deo ISI i ne realizuje prekid, preticanje, modifikaciju i fabrikaciju. Napad se detektuje i na njega se uspešno reaguje Izuzeci: bezbednosni deo ISI ne reaguje na svaku vrstu napada Uslovi koji moraju biti "zadovoljeni" posle izvršavanja: zlonamernik van sistema nije izvršio (ne vrši) svoju "misiju", bezbednosni deo ISI je reagovao, registrovan je napad, preduzete su mere odbrane Slučaj korišćenja: sanacija ISI Kratak opis: zlonamernik van sistema je uspeo sa napadom, bezbednosni deo ISI nije reagovao, vrši se sanacija štete na ISI Učesnici: sanatori, ISI Uslovi koji moraju biti "zadovoljeni" pre izvršavanja: mora biti uspostavljena konekcija AIS sa JIS. Slaba je odbrana AIS Opis: zlonamernik van sistema je obišao bezbednosni deo ISI i realizuje prekid, preticanje, modifikaciju i fabrikaciju – izazvao je štetne posledice. Napad nije detektovan i na njega se nije uspešno reagovalo. Vrši se sanacija u skladu sa Glavom 8 Izuzeci: bezbednosni deo ISI reaguje na svaku vrstu napada, nema štetnih posledica 52

Uslovi koji moraju biti "zadovoljeni" posle izvršavanja: zlonamernik van sistema je izvršio (vrši) svoju "misiju", bezbednosni deo ISI nije reagovao, registrovan je napad, preduzete su mere sanacije (ojačan bezbednosni deo ISI) Na sledećem dijagramu slučajeva korišćenja prikazan je bezbednosni informacioni sistem (BzIS) sa svim učesnicima iz tačke 5.3.1.

Bezbednosni informacioni sistem (BzIS) kao deo ISI-ja -End13

* * -End16 -End35

-End14

*

*

Glavni referent za bezbednost * -End11 -End12 * *

Koordinacija zast. mera ka lok. ref. bezb.

*

-End36 *

-End15 -End17* *

*

-End18 -End23

Koordinacija ka gl. adm. cen. za intranet

Pretrazivanje javne BP *

-End9

-End8

-End19

Lokalni referent za bezbednost -End20 -End21

Koordinacija zast. mera ka lok. adm. AIS

*

-End25

*

Odrzavanje privrem ene BP *

*

-End28

-End26 * *

-End6

Direktna komunikacija sa lokalnim administra torima

*

*

-End10

-End5 *

*

-End27

*

Korisnik

*

-End29

-End7 *

-End3

*

*

-End4 Upravljanje privre menom BP

-End30

-End22 -End24 *

*

-End32 * -End34

Glavni administrativni centar za intranet * -End1 *

*

-End31 -End33

-End2

Lokalni administrator za AIS

Upravljanje javnom BP *

*

Slika 4.2.2. Dijagram slučajeva korišćenja za BzIS Slučaj korišćenja: upravljanje javnom BP Kratak opis: formiranje i ažuriranje dokumenata javne BP, administracija korisnika javne baze podataka Učesnici: glavni administrativni centar za Intranet. 53

Uslovi koji treba da budu ispunjeni pre: postojanje dokumenata javne BP i stečeno iskustvo u primeni različitih sistema zaštite, kriterijum glavnog referenta bezbednosti u vezi sa korisnicima – ko može biti korisnik Opis: formiraju se dokumenti od opšteg značaja za unapređenje bezbednosti sistema. Dokumenti se razlikuju po cilju i sadržaju. Dokumenti se odnose na određene standarde zaštite, pripremu za detekciju napada i implementaciju mehanizama zaštite, opise nedostataka određenih tehnologija, itd. Funkcija i sadržaj dokumenata su dati u Glavi 9 Izuzeci: pojava događaja (standarda, postupaka u prevenciji – sanaciji, nedostataka, tehnologija i sl) koji nisu definisani – opisani dokumentima, pojava "korisnika" mimo kriterijuma glavnog referenta bezbednosti Uslovi koji treba da budu ispunjeni posle: ažurnost dokumenata javne BP, evidentirani korisnici sistema i ažurna statistika korišćenja sistema Slučaj korišćenja: upravljanje privremenom BP Kratak opis: administracija korisnika privremene baze, formiranje i ažuriranje dokumenata privremene baze podataka Učesnici: glavni administrativni centar za Intranet, lokalni administrator u AIS Uslovi koji treba da budu ispunjeni pre: glavni administrativni centar za Intranet i/ili lokalni administrator za AIS je/su registrovan(i) kao ovlašćeni (autentikovani/autorizovani) korisnik(ci) sistema. Glavni administrativni centar za Intranet dobio je od glavnog referenta bezbednosti spisak korisnika sa nadležnostima. Glavni administrativni centar za Intranet i/ili lokalni administrator za AIS je(su) ustanovio(li) da je AIS za koji je nadležan korumpiran od strane unutrašnjeg ili spoljnjeg napadača Opis: omogućuje lokalnom administratoru za AIS da dostavi informacije o incidentu. Lokalni administrator za AIS popunjava obrazac za prijavljivanje incidenta i uz prethodnu proveru identiteta smešta kriptovani dokument u privremenu bazu podataka. Mada ova opcija treba da bude rešena automatizmom. Naime, svaki "log" korisnika inicira formiranje novog žurnala koji evidentira aktivnosti korisnika. Neregularne aktivnosti se prepisuju u privremenu BP. Glavni administrativni centar za Intranet odgovoran je za ažurno stanje privremene baze podataka. Licima iz glavnog administrativnog centra za Intranet, koja imaju ovlašćenja za upravljanje bazom, omogućen je izbor opcija za ažuriranje sadržaja baze (dodavanje, brisanje, promena). Ažuriranje se odnosi na strukturu baze, strukturu dokumenata i sadržaj dokumenata Postoje tri vrste "korisnika" s obzirom na prava pristupa. Glavni administrativni centar za Intranet ima pristup svim segmentima sistema sa pravom izmene sadržaja ili strukture dokumenata. Lokalni administrator za AIS ima autentikovani pristup privremenoj bazi podataka za slanje izveštaja o incidentu i autentikovani pristup javnoj bazi podataka. Korisnik (podrazumeva se da nema administrativne nadležnosti) ima autentikovani pristup javnoj bazi podataka i autentikovani pristup privremenoj bazi podataka. Evidencija (žurnal o radu) vodi se samo za ovlašćene (autentikovane/autorizovane) korisnike. Svaki ovlašćeni korisnik odlikuje se svojim korisničkim imenom (user name), lozinkom i pravom pristupa. Evidenciju vodi lice iz glavnog administrativnog centra za Intranet. Prilikom svakog pokušaja pristupa privremenoj bazi podataka proverava se autentičnost korisnika upoređivanjem sa podacima iz evidencije. Podaci o ovlašćenim korisnicima su zaštićeni kriptovanjem Izuzeci: administrator nije registrovan, te nema pristup bazi za slanje dokumenta. Takođe, ukoliko korisnik nema poverenja u bezbednost svoje mreže, s obzirom na to da je korumpirana, izveštaj o incidentu može dostaviti i telefonski. Tada je za formiranje 54

elektronskog zapisa o incidentu i njegovo smeštanje u privremenu bazu podataka zaduženo osoblje glavnog administrativnog centra za Intranet Uslovi koji treba da budu ispunjeni posle: lokalni administrator za AIS, i/ili korisnik, dostavio je informacije o incidentu potrebne za uspešno otklanjanje posledica incidenta i poboljšanje bezbednosti sistema. Lokalnom administratoru za AIS i/ili korisniku, dostavlja se potvrda o prijemu prijave incidenta, ažurno stanje baze, ažurni podaci o autentikaciji/autorizaciji korisnika Slučaj korišćenja: direktna komunikacija sa lokalnim administratorima Kratak opis: direktna komunikacija sa korisnicima sistema radi unapređenja bezbednosti AIS Učesnici: glavni administrativni centar za Intranet, lokalni administrator za AIS Uslovi koji treba da budu ispunjeni pre: lokalni administrator za AIS je izvršio registraciju kojom postaje korisnik sistema Opis: glavni administrativni centar za Intranet, na osnovu sadržaja obrasca za prijavljivanje incidenta uspostavlja komunikaciju sa lokalnim administratorom za AIS korumpiranog AIS radi pružanja podrške prilikom otklanjanja posledica incidenta. Ovaj deo podrške odnosi se na preduzimanje određenih koraka nakon što je do incidenta došlo. To su metode i postupci rekonstrukcije korumpiranih datoteka i programa, kao i uklanjanje datoteka i programa koje je napadač ostavio u sistemu. Glavni administrator pruža i podršku korisnicima sistema koja se tiče unapređenja bezbednosti AIS. Ta podrška se odnosi na prevenciju i detekciju napada. U oba slučaja, podrška može biti u usmenoj formi ili u formi kriptovanih dokumenata. Glavni administrator je zadužen za kreiranje mailing liste za korisnike sistema putem koje ih pravovremeno obaveštava o novim tehnološkim dostignućima iz domena zaštite ili o novim pretnjama bezbednosti informacionih sistema. Izuzeci: obrazac za prijavu incidenta sadrži nereprezentativne podatke. Dokument se izbacuje iz baze, a pošiljaocu se šalje upozorenje Uslovi koji treba da budu ispunjeni posle: otklonjene posledice napada. Povećan nivo bezbednosti sistema Slučaj korišćenja: održavanje privremene BP Kratak opis: prijava incidenata u ISI Učesnici: glavni administrativni centar za Intranet, lokalni administrator za AIS, korisnik. Uslovi koji treba da budu ispunjeni pre: glavni administrativni centar za Intranet dobio je od glavnog referenta bezbednosti spisak korisnika sa nadležnostima. Slično kao kod upravljanja privremenom BP glavni administrativni centar za Intranet i/ili lokalni administrator za AIS i korisnik (bez administrativnih ovlašćenja) je/su registrovan(i) kao ovlašćeni (autentikovani/autorizovani) korisnik(ci) sistema. Glavni administrativni centar za Intranet i/ili lokalni administrator za AIS je(su) ustanovio(li) da je mreža za koju je nadležan korumpirana od strane unutrašnjeg ili spoljnjeg napadača ili zbog bilo kog drugog uzroka a na osnovu prijave korisnika Opis: omogućuje lokalnom administratoru za AIS i/ili korisniku da dostavi informacije o incidentu. Korisnik "ručno" ili po automatizmu prijavljuje incident, što je već opisano u okviru use case-a, "upravljanje privremenom bazom podataka". Neregularne aktivnosti se prepisuju u privremenu BP. Izuzeci: korisnik (bilo koji ili svi) nije(su) registrovan(i) te nema(ju) pristup bazi evidencija – prijavama incidenata. Takođe, ukoliko korisnik nema poverenja u bezbednost svog AIS, s obzirom na to da je korumpiran, izveštaj o incidentu može dostaviti i 55

telefonski. Tada je za formiranje elektronskog zapisa o incidentu i njegovo smeštanje u privremenu bazu podataka zaduženo osoblje glavnog administrativnog centra za Intranet. Uslovi koji treba da budu ispunjeni posle: stvoreni osnovi za izradu dokumenata – ažuriranje privremene baze podataka. Slučaj korišćenja: pretraživanje javne baze podataka Kratak opis: pretraživanje javne BP Učesnici: glavni administrativni centar za Intranet, lokalni administrator za AIS, korisnik, glavni referent za bezbednost, lokalni referent za bezbednost Uslovi koji treba da budu ispunjeni pre: postojanje javne BP, da bi se dokumenti mogli koristiti, oni moraju postojati u bazi. Znači, uslov za početak rada sistema jeste postojanje nekog inicijalnog skupa dokumenata, koji bi se pravilnim funkcionisanjem sistema proširivao. Korišćenje dokumenata podrazumeva pronalaženje odgovarajućeg dokumenta iz javne baze podataka i primenu njegovog sadržaja na konkretan problem. Opis: pretraživanje dokumenata se može vršiti u dva smera. Prvi smer pretraživanja podrazumeva kretanje kroz bazu dokumenata sužavanjem kriterijuma, odnosno kretanje u smeru specijalizacije sadržaja dokumenata. Drugi smer istraživanja podrazumeva kretanje kroz dokumente različitog sadržaja, ali na istom nivou specijalizacije Izuzeci: u slučaju da traženi dokument ne postoji u bazi, sistem omogućuje njegovo pronalaženje u drugim bazama putem linkova koji su sastavni deo dokumenata iz baze Uslovi koji treba da budu ispunjeni posle: pronađeni dokumenti u javnoj BP Slučaj korišćenja: koordinacija ka glavnom administrativnom centru za Intranet24 Kratak opis: koordinacija zaštitnih mera Učesnici: glavni referent za bezbednost, glavni administrativni centar za Intranet Uslovi koji treba da budu ispunjeni pre: postojanje glavnog referenta za bezbednost i glavnog administrativnog centra za Intranet, praćenje stanja i novosti u domenu tehničkotehnološke zaštite IS Opis: davanje naloga glavnom administrativnom centru za Intranet, predlaganje mera glavnom referentu bezbednosti Izuzeci: glavni administrativni centar za Intranet na svoju odgovornost preduzima mere mimo svoje nadležnosti Uslovi koji treba da budu ispunjeni posle: glavni administrativni centar radi po nalozima glavnog referenta bezbednosti Slučaj korišćenja: koordinacija zaštitnih mera ka lokalnom referentu za bezbednost Kratak opis: koordinacija zaštitnih mera Učesnici: glavni referent bezbednosti, lokalni referent(i) bezbednosti Uslovi koji treba da budu ispunjeni pre: postojanje glavnog referenta bezbednosti i lokalnih referenata bezbednosti, praćenje stanja i novosti u integralnoj zaštiti IS Opis: davanje naloga lokalnom referentu, predlaganje mera glavnom referentu bezbednosti Izuzeci: lokalni referent na svoju odgovornost preduzima mere mimo svoje nadležnosti Uslovi koji treba da budu ispunjeni posle: lokalni referent radi po nalozima glavnog referenta bezbednosti

24

Slično je na relaciji lokalnih referenata bezbednosti – lokalnih administratora.

56

Na kraju, otvoreno je pitanje kako modelirati opšti bezbednosni informacioni sistem koji će štititi i ISI i bilo koji drugi informacioni sistem. U Glavi 5. i 6. ove knjige definisane su bezbednosne sfere kao metafora, ali i stvarnost, konzistentne i potpune bezbednosti bilo kog informacionog sistema pa i ISI. Da bismo modelirali opšti bezbednosni informacioni sistem, koristeći UML, uočimo, još jednom, bezbednosne sfere (glava 5. i 6): — humana sfera — normativna sfera — organizaciona sfera — sfera fizičke zaštite — sfera protipožarne zaštite — sfera zaštite infrastrukture — sfera zaštite softvera — sfera zaštite rezidentnih podataka — sfera zašite IS u radu u mrežnom okruženju — kriptozaštitna sfera.

57

5. MERE KOJE ČINE BEZBEDNOST INFORMACIONOG SISTEMA Nakon sistematizacije opasnosti po IS i definisanja modela bezbednog IS, u ovoj glavi daćemo pregled mera koje čine bezbednost IS. Mere koje se predlažu treba u najvećoj mogućoj meri da smanje verovatnoću degradacije IS. Od značaja za našu temu [Mar81] jeste i sledeća odrednica prema uslovima: "...Odgovor na pitanje šta su uslovi jedne pojave zavisi (a) od objektivnog stanja stvari po sebi (b) od celokupnosti naših znanja o stvarnosti, i (v) od problema (svrhe) koji smo sebi postavili. Pošto su u svakom istraživanju u jednom određenom trenutku faktori (a) i (b) konstantni za sve kompetentne istraživače, (v) treba da bude eksplicitno formulisano i precizirano." Šta je sa faktorima? U Leksikonu stranih reči i izraza [Vuj80] nalazimo više značenja termina "faktor"(od latinske reči facere – činiti), kao što su: činilac, činitelj... okolnost, sila koja nešto stvara. U vezi sa bezbednošću IS govorimo o faktorima – "sferama" bezbednosti. Kako obezbediti što konzistentniju bezbednost (zaštitu) nego višestrukim prstenovima (ako sistem posmatramo u ravni), ili sferama, (ako je model sistema “prostoran”). Upravo sfera, ili sfere, kao tela koja nemaju konkavnosti, treba da potenciraju konzistentnost bezbednog IS. Sistem zaštitnih sfera obezbeđuje: — višestrukost — raznovrsnost — sistematičnost. Navedeni atributi (sistema zaštitnih sfera), pre svega prema (ii), povećavaju bezbednosni nivo IS. Sasvim je logično da će višestrukost i raznovrsnost (zaštitnih sfera) biti preduslov bezbednijeg, odnosno sigurnijeg IS. Sistematičnost (zaštitnih sfera) je takođe u funkciji bezbednijeg, odnosno sigurnijeg IS. Naime, sistematičnost olakšava dizajneru bezbednosnog IS da izdvojeno, sistematično, sa različitih aspekata, dizajnira svaku sferu posebno. Sva tri atributa su uslov konzistentnosti (ii) bezbednosti IS. Bezbednost IS [Off99] je sistematizovana i kao ("IMPLEMENTATION GIDELINES, Appendix A – Minimum Security Requirements for NIPRNet-Internet Connectivity"): — administrativna (upravna) bezbednost – podrazumeva organizacione mere radi bezbednosti — bezbednost informacionog sistema – podrazumeva bezbednost informacija pri obradi, skladištenju i prenosu podrazumevajući pristup preko NIPRNet-Internet konekcije — bezbednost osoblja – kojom se determiniše ponašanje osoblja — fizička bezbednost – mogućnost planiranja backup procedura u slučaju prekida servisa i zaštita opreme radi sprečavanja neautorizovanog uvida u informacije, uništavanja ili menjanja informacija — proceduralna bezbednost – podrazumeva odgovor u slučaju incidenta, a menadžment rizika bavi se procenom balansa bezbednosnog sistema u odnosu na identifikovanu pretnju i ranjivost sistema. 58

Ova ideja nije nova, što dokazuju primeri, Slika 5.1. i 5.2, [Hsi82] i [Muf79]: (1) (2) (3) (4) (5) (6)

Slika 5.1. ''Prstenovi'' bezbednosti računskog centra U navedenom primeru kao zaštitne sfere naznačene su: (1) pravne norme, (2) organizacione mere, (3) mere neposredne zaštite, (4) zaštita opreme, (5) zaštita programske podrške i (6) zaštita baze podataka. U sledećem primeru zaštitne sfere detereminišu se preko: legalne i društvene kontrole, administrativne kontrole, fizičke zaštite i kontrolnih procedura u sistemu.

legalna i društvena kontrola administrativna kontrola

sistem

fizička zaštita kontrolne procedure u sistemu

Slika 5.2. ''Prstenovi'' – nivoi računarske bezbednosti 59

5.1. Humana sfera Prema [IBM85], čovek je najslabija karika svakog bezbednosnog sistema. Prema [How97], napadi na IS ne počinju sami od sebe, njih započinje čovek, otuda u prvi plan stavljamo čoveka kao faktor (sferu) zaštite IS. Štetočina [Luk97] (prekršilac) je lice koje vrši nedopuštene operacije (slika 3.4), bilo zbog greške, neznanja (zadesno) ili sa zloumišljajem (iz koristoljublja) ili bez koristoljublja (radi igre, zadovoljstva, samopotvrđivanja) koristeći za to različite mogućnosti, metode i sredstva. Mogu se izdvojiti sledeće kategorije štetočina: Službenik analfabeta. To je lice zaposleno u IS (računarskom sitemu) koje bez kompetencija, slučajno, bez zloumišljaja, preduzima nedopuštene radnje u ''zabranjenim zonama'' računarskog sistema, kvareći, npr. podatke, ali koristeći samo one resurse za koje je ovlašćen. Službenik ljubitelj (diletant). Lice koje istražuje po bezbednosnom sistemu bez koristoljublja sa ciljem samopotvrđivanja, ''iz sportskih razloga''. Da bi se pentrirao u sistem, on može da koristi različite slabosti bezbednosnog sistema, mimo njegovih nadležnosti pa i resurse za koje je on nadležan. Unutrašnji zlonamernik. Lice koje upada u sistem zbog koristoljublja ili, recimo, zbog osvete radi uvrede, povređene sujete, ili povređenog prava. Ovo lice može da sarađuje sa licima koja nisu zaposlena u IS. Ono može da koristi niz metoda, koristeći i agenturne pasivne metode (sigint, elint) pristupa sistemu. Zlonamernik može da koristi i aktivna sredstva u modifikaciji (kvarenju) performansi sistema i podataka. Ova dejstva se sprovode neposredno u sistemu i spolja, preko mreže. Spoljna štetotčina. Lice koje upada u sistem iz koristoljublja ili ''sportskih razloga'', moguće sam ili u saradnji sa drugim licima (tim). U ulozi ovakvog štetočine može da bude lice sa strane, saradnik ili klijent (korisnik). U ulozi klijenta može da se pojavi i saradnik klijenta pa čak i institucija (kao klijent). Koriste se brojne metode upada, naročito je problematičan Internet. Ova podela je sužena u odnosu na [How97]. Ona može da bude dobra dopuna. Jer, podsetimo se, prema [How97], postoji šest kategorija napadača, proširen skup i u odnosu na Sliku 3.4. Za bezbednost IS nisu problem samo napadači već sve štetočine. Prema [Luk97], odnos kategorija štetočina je po sledećem: — od 46.2% do 84.5% su napadi od strane neposredno zaposlenih u IS — od 62% do 72.2% napadači su bili spolja (hakeri) — od 40.6% do 58.5% napadači su bili iz redova konkurencije. Zakoni ponašanja su, prema [Kos89], samo logični i racionalni opisi objektivnih faktora situacije (prostor, vreme, pravne i moralne norme i delovanje drugih ljudi) i unutrašnjeg aspekta čovekovog bića (želje, vrednosti, motivi, ciljevi, moral, osobine ličnosti). Mehanizam ponašanja ličnosti u determinističkom svetu je kauzalnost: postojanje uzroka koji su se stekli neposredno i prethodno aktu ponašanja. Postojeći uzroci iz kojih logično i nužno sledi ponašanje racionalni su u najširem smislu reči: jer ako bi nečije ponašanje bilo neobjašnjivo u krajnjoj instanci [Kos89] lege artis analize, onda bi bilo i iracionalno, dakle ludo, sumanuto. 60

Brojne su situacije koje nameću poslovi u IS a predstavljaju izazove i često teško rešive (pa i trenutno nerešive) probleme za ljudstvo koje dolazi u dodir sa IS. Intenzivne promene informatičke tehnologije zahtevaju od ljudstva u IS da neprestano uči i da se usavršava. Izazov i problem u IS su i znanja: logika, matematika, elektrotehnika (elektronika), te konačno informatika sa brojnim specijalnostima. Deo informatičara25, prilikom razvoja IS, prinuđen je da se upoznaje sa oblastima za koje se razvija automatizovani IS. Stepen poznavanja sistema za koji se razvija IS ide, ponekad, do te mere da informatičar postane u određenom momentu konsultant i tad (informatičar) podučava ljudstvo u tom sistemu njihovom poslu ili im daje savete kako da bolje rade ili, barem, bolje upravljaju informacijama. Beskraj znanja, oblasti, koje se pojavljuju kao predmet automatizacije IS, predmet su i problem za informatičare. Vrlo čest problem, koji se javlja prilikom automatizacije (razvoja) IS, jeste i neuređenost poslovnog sistema. Otuda se problem automatizacije još više komplikuje. Ljudstvo koje neposredno radi na računaru, ima pred sobom nemilosrdno ''pravednog'' sudiju koji ne dozvoljava nepreciznost ili netačnost u komunikaciji sa njim (računarom). Ovaj aspekt dodatno frustrira i iscrpljuje jer traži vrlo visok stepen koncentracije u izdavanju komandi i/ili prijemu podataka (informacija) sa računara. U toj komunikaciji ne postoji redundansa. Konačno, nesaglediva koncentracija podataka nemerljivo važnih i vrednih, neprestan je izazov za ljudstvo koje je u neposrednom dodiru sa njima. Nerešavanje, ili loše rešavanje problema, ima za posledicu štetu u IS. Ovde se susrećemo sa psihološkim, sociološkim, pravnim i organizacionim problemima. U izučavanju ljudske istorije često je [Bre83] prisutan antropologizam – stav da je sve što radimo i spoznajemo uslovljeno prirodom čoveka (grč. anthropos – čovek). Naučno se može objasniti čovek i njegova priroda analizom ljudskog rada i čovekova položaja u društvenoj zajednici. Čovek je deo prirode, ali i različit od ukupne prirode. U strukturi elemenata IS najvažnije mesto zauzima kadar26 izražen kroz prirodne sposobnosti za rad a i stečenim znanjima i veštinama za radne procese. Prirodna sposobnost za rad nalazi se samo kod žive individue koja se ispoljava i potvrđuje u radnoj aktivnosti. Iako i neke životinje rade na zadivljujuće organizovan način, one ne poseduju racionalno mišljenje. Stoga se čovek i zove ''razumna životinja'' – animal rationale. Svakako da je za IS, pored broja, važan kvalitet kadra koji se izražava kroz obrazovni nivo, sposobnost i iskustvo. Kadar treba tretirati kao resurs deleći ga na njegove sastavne delove: a) prirodnu sposobnost za rad, b) stečena znanja i veštine za radni proces, v) prirodnu razliku sposobnosti sticanja znanja i g) zdravstveno stanje kadrova. Procenjuje se da su [Bre83] 3,5 puta atraktivnije investicije u obrazovanje kadra nego u fizički kapital. Nasuprot kvalitetnom kadru, nekvalitetan kadar neće doprineti efikasnosti poslovanja IS a u krajnjem takav kadar će biti uzrok štete u IS. 25

Informatičari – nosioci (izvršioci) IS: projektanti, programeri, administratori, operateri, za razliku od korisnika IS. Termin potiče od latinskog sqadri – okviri, odnosno u savremenom tretmanu iz francuskog jezika cadri. Značenje ovog termina se odnosi na sve zaposlene a posebno na stručnjake i menadžment. U engleskom jeziku cadre i znači vodeći, glavni, kadrovi u vojsci. Ovaj pojam označava se i terminom personal – personnel, perosonale, personal. 26

61

Kadar (čovek) može štetu u IS da učini zbog: — nepažnje (nehata) — krajnje nepažnje i — namere. Nepažnja ili nehat mogu da budu posledica: — neznanja — bolesti — umora i — opšte nesposobnosti. Opšta nesposobnost je umanjenje fizičkih, senzornih, psihomotornih i/ili mentalnih sposobnosti. Kako prevenirati moguću inferiornost u odnosu na radne obaveze (probleme) koje treba rešavati u okviru svoje nadležnosti? Odgovor leži u dobrom izboru i vođenju kadra – dobroj kadrovskoj politici i dobroj organizaciji posla (obezbeđenju optimalnih radnih uslova) koji ne smeju dovesti ljudstvo u poziciju u IS da bude inferiorno u odnosu na radne zadatke. Interesantan je [Bre83] Aristotelov pristup dobroj kadrovskoj politici. Postoje tri načela (trajno važeća): — apsolutna ljubav za sistem, postojeći poredak — vanredna sposobnost za obavljanje funkcije, poslova, posebno u vlasti — pravednost i vrline. Ova načela zapisana su u Aristotelovoj ''Politici'', u četvrtom veku pre nove ere. Ona predstavljaju temelje u savremenoj kadrovskoj politici. Aristotel ističe da ''običaji kvare ljude'' i da nije svaki čovek u stanju podnositi sreću, odnosno da neuspešnim postepeno treba oduzimati funkciju. ''A naročito treba nastojati da se zakonima uredi, da niko ne postane odviše moćan ni zbog prijatelja ni zbog novca, a ako nije moguće (to sprečiti), treba im omogućiti da dođu do izražaja u inostranstvu.'' Jasno je da se ovde pledira da se nesposobni kazne ostrakizmom.27 Rešenja su (prevencija je) u sledećem: — pravilan izbor (selekcija) kadrova — obezbeđenje optimalnih radnih uslova. Ovaj deo prevencije internog je karaktera i odnosi se na kadar koji se prima na rad ili je zaposlen u IS. 5.1.1. Selekcija kadrova za rad u informacionim sistemima Značajna kategorija u prevenciji štete u IS jeste pravilan izbor i zapošljavanje kadrova. Provereni instrumenti u proceduri (postupku) zapošljavanja kadrova su: kadrovski upitnik

27 Progonstvo iz Atine [Vuj80] na 10, kasnije 5 godina, nekog uglednog građanina (koga su smatrali da se toliko osilio da bi mogao biti opasan) narodnim glasanjem (sa 6000 glasova). Glasanje se vršilo tako što su glasači ispisivali ime kandidata za progonstvo na crepiće (ostrakon – crepić). Ovakvo progonstvo nije se smatralo kao sramota, nego kao neka počast mada neprijatna. Danas nije redak slučaj da, zbog koristi koje donosi obavljanje javnih poslova i vršenje vlasti, ljudi žele neprestano da vladaju.

62

(popisnica), intervju sa kandidatom, testovi, ispitivanje psiho-fizioloških osobina i uvođenje u posao. Kadrovski upitnik. Najuniverzalniji mehanizam koji se koristi za ispitivanje i izbor kandidata. Obrazac upitnika uključuje sve potrebne podatke za proceduru zapošljavanja. Ovaj obrazac ne sme da sadrži serije zamršenih ličnih pitanja. Pitanja u upitniku treba da budu jednostavna i upotrebljiva za identifikaciju kadra preko: osnovnih generalija, fizičkih (zdravstvenih) karakteristika, obrazovanja i iskustva, porodičnog, imovnog i stambenog stanja. Intervju. Korak koji sledi u proceduri izbora kadrova. Prilikom intervjua ispitivač i kandidat treba da sagledaju postojeće mogućnosti i pogodnosti kandidata za posao koji se nudi. Testovi. Prilikom prijema na određene vrste poslova testovi su obavezan deo procedure. Najveća vrednost testova [Bre83] jeste u tome da ukažu da neka ličnost verovatno neće moći da izvrši zadatak sa primernim uspehom ako uspešno ne reši neki test. Testovi se koriste i da ukažu na mentalne (ne)sposobnosti ili sposobnosti razumevanja i upotrebe ideja za merenje mehaničke sposobnosti, mentalnih i fizičkih koordinativnih sposobnosti. Ispitivanje psiho-fizioloških osobina. Važno je da se proveri da li je ličnost psihofiziološki sposobna za neki posao. Ovo se odnosi, pre svega, na poslove sa fizičkim opterećenjem. Mada za sve vrste poslova treba da se utvrdi: a) da li kandidat ima neka zdravstvena ograničenja tipa neizlečive pa i zarazne bolesti, b) da li kandidat ima opšte psiho-fiziološke predispozicije za konkretni posao,28 v) da se, konačno, odredi tačno i potpuno stanje zdravlja. Poslednji razlog je prevencija mogućeg oštećenja zdravlja zbog težine posla ili zbog nekih drugih radnih uslova. Svakako da je bolje da se pregledi obave pre stupanja na posao, jer se time izbegavaju eventualne komplikacije. Uvođenje u posao. Podrazumeva upoznavanje sa poslovnim sistemom, ciljevima poslovnog sistema, organizacijom, neposrednim saradnicima, rukovodiocima i potčinjenim u hijerarhiji, nadležnostima (pravima i obavezama) na radnom mestu. Uvođenje podrazumeva i probni rad koji se (komisijski) verifikuje nakon određenog vremena. S druge strane, stihijsko uvođenje kandidata u veštine rada rasipno je i nedopustivo. Ovakav način uvođenja u posao može biti uzrokom buduće štete. Informacije o poslu i instrukcije za rad mogu predstavljati povod da novi saradnik postane subjekat, entuzijasta, prilikom prihvatanja novog posla. Dobro uvođenje u posao ne prestaje sve do momenta potpune adaptacije kandidata na novi posao. Značaj kadra i samim tim njegove selekcije, pre svega prilikom prijema na posao, a zatim selekcije i u okviru samog IS, ilustrovaćemo prema glavi ''Nove orijentacije u selekciji – opšti pravci promena'' [Kos89]. U kojoj meri psiholozi uspevaju da predvide ponašanje pojedinaca u kriterijum-aktivnosti na osnovu, na primer, testova primenjenih u selekciji? Testovi treba da daju odgovor u vezi sa nizom karakteristika kandidata: intelektualne sposobnosti (inteligencija, neposredno pamćenje, supstitucija, numeričke sposobnosti), specijalne i mehaničke sposobnosti 28

Drastičan primer je stepen invaliditeta kao ograničenje za uspešno obavljanje nekog posla.

63

(specijalni odnosi, lokacija, mehanički principi), perceptivna tačnost, motorna sposobnost, crte ličnosti, interesi. Pokazuje se, prema [Kos89], da testovi nisu jedini i najuspešniji instrument selekcije zbog niza pitanja etičkog i stručno validacijskog karaktera, naime nijedan odgovor nije mogao zadovoljiti profesionalce a kamoli demokratsku i na ugrožavanje ljudskih sloboda osetljivu javnost. Dakle, selekcija treba da se zasniva na sledećem: 1. Antropološko-filozofska pozicija selekcije određena je Darvinovom teorijom evolucije 2. Etička pitanja rešena su propisivanjem standarda kodeksa upotrebe testova uopšte i u svrhu selekcije posebno 3. Psiholozi rešavaju stručno validacijske probleme, razvijeni su složeni modeli selekcije (formiraju se i centri za selekciju ljudstva) 4. Strogi empirizam i kriterijumska valjanost postaju normativni standardi u razvijanju testova 5. Kad god je to moguće, ekonomski opravdano i važno, s obzirom na ciljeve selekcije, uvodi se probni rad kao zamena za klasične selekcione postupke i metodologije 6. Tehnike koje imaju širok dijapazon primene (u selekciji) treba svoditi na uže i realne segmente ponašanja putem intervjua. 5.1.2. Obezbeđenje optimalnih radnih uslova Ubrzavanje naučno-tehničkog progresa [Lom82], povećanje razmera uvođenja nove tehnike u praksu, masovno uvođenje računara u sve delatnosti ljudskog društva, ima za posledicu i povećanje složenosti poslova (u tim delatnostima). Prema [Lom82] statistikama, u okolnostima složenih poslova, pouzdanost realizacije poslova pada. Zato povećanje pouzdanosti rada u tehničkim sistemima, koja je uslovljena pre svega pouzdanošću rada ljudi u tim sistemima, nalaže da se poklanja pažnja ne samo tehnici već celom sistemu ''čovek-mašina''. Ovakva potreba stvorila je oblast (nauku)– inženjersku psihologiju, koja ima za cilj da poboljša i olakša uslove rada, obezbedi stvaralačke i visokoproizvodne mogućnosti u bilo kom poslovnom sistemu. Savremeni poslovni sistemi uslovno se mogu podeliti na dve klase: tehnološki i organizacioni. U tehnološkim sistemima čovek, pomoću tehničkih sredstava, upravlja proizvodnim agregatima i procesima, transportnim sredstvima i drugim mašinama. Čovek u takvim sistemima ima ulogu operatera. U organizacionim sistemima čovek, koristeći tehnička sredstva da bi dobio neko rešenje, upravlja kolektivom ljudi. Delatnost čoveka u takvim sistemima definisana je kao upravljačka. Informacioni sitem (IS) je, s jedne strane, tehnološki sistem. U IS koristi se informatička tehnologija u cilju prerade podataka i/ili informacija u – informacije. S druge strane, IS je i organizacioni sistem jer se informatička tehnologija koristi u procesu upravljanja, recimo, kolektivom. Rad sa informatičkom tehnologijom (IT) nije skopčan toliko sa fizičkim koliko sa umnim naporom. Osnovne tri funkcije u IS, kao tehnološkom sistemu, jesu razvoj (planiranje i projektovanje IS), održavanje IS i eksploatacija IS. Razvoj i održavanje IS pretežno realizuju informatički kadrovi. Na eksploataciji se pretežno angažuju korisnici. Razvoj IS se realizuje u simbiozi sa korisnikom (naručiocem) a njegov rezultat je IS, najčešće realizovan na sredstvima IT. Održavanje IS podrazumeva ispravljanje eventualnih grešaka u (automatizovanom) IS i njegovo prilagođavanje novom (normativnom, organizacionom 64

i/ili tehnološkom) ambijentu poslovnog sistema. Eksploatacija IS je korišćenje IT29 u cilju prerade podataka i/ili informacija u informacije. Sve tri funkcije su najčešće povezane sa obradom velikih skupova podataka i realizacije rešenja određenih problema. Sa razvojem računara moć čoveka s jedne strane se povećala ali računari su postali i složeniji, bez obzira na tzv. user friendly (дружелюбный) tendencije u razvoju, što s druge strane čini poteškoće u korišćenju računara. Računar je postao multimedijalna mašina koja preko računarske mreže pruža korisniku bezbroj informacionih mogućnosti. U radu sa takvim računarima otvoreno je pitanje usaglašenosti konstrukcije (računara) sa psihološkim i fiziološkim karakteristikama čoveka. Koliko god bio savršen računar, njegova efektivna primena ipak u konačnom zavisi od čoveka koji koristi taj računar. Zato je neophodno baviti se problemom rada računara i čoveka u jedinstvenom sistemu ''čovek –računar''. Problem međudejstva čoveka i računara ima mnogo aspekata. Najvažniji od njih je vezan za izučavanje procesa informacionog međudejstva čoveka i računara. Inženjerska psihologija izučava objektivne zakonomernosti procesa informacionog međudejstva čoveka i mašine (računara) u cilju njihove primene u projektovanju, gradnji i eksploataciji sistema čovek–računar. Pri tome se ističe vodeća uloga čoveka. Nije moguće shvatiti odnos ''čovek–računar'' ne posmatrajući čoveka kao subjekta a računar kao sredstvo rada. Naime, bilo kakva mašina, pa i računar, samo je sredstvo za realizaciju radnog procesa i postoji samo zbog toga da bi je čovek koristio. Inženjerska psihologija, kao psihološka nauka, izučava procese i osobine čoveka objašnjavajući kakvi zahtevi ka tehničkim sredstvima proizlaze iz osobina ljudskog rada, odnosno rešava zadatak upodobljavanja tehnike i uslova rada čoveku. Osim toga, inženjerska psihologija, kao tehnička nauka, izučava principe projektovanja sistema u vezi sa psihološkim i fiziološkim osobinama čoveka. Na Slici 5.1.1. u cilju boljeg definisanja ciljeva inženjerske psihologije data je šema sistema ''čovek–računar''. Receptori (organi osećanja)

Sredstva za prikaz informacija

Centralni nervni sistem

Informacioni aritmetičko-logički uređaj

Efektori: lokomotorni organi, glasovni aparat, oči

Sredstva za upravljanje uređajem

Upravljajući uređaj

Slika 5.1.1. Strukturna šema sistema čovek–računar Bilo koja promena u stanju upravljajućeg objekta (UO) zahteva akciju od strane informaciono aritmetičko-logičkog uređaja, obezbeđujući očekivani stepen automatizacije. 29

Zbog jednostavnijeg pristupa IT ćemo identifikovati sa računarom kao najreprezentativnijim predstavnikom ove tehnologije.

65

Nakon odgovarajuće reakcije UO dostavlja se informacija o stanju UO čoveku-operateru na indikatorima. Podrazumeva se da operater ne saznaje neposredno stanje UO već se njemu prezentuje informacioni model (IM) koji imitira stanje UO. Pod IM podrazumeva se skup signala, koji nose operateru informaciju o UO. IM treba da dâ kvalitetnu informaciju o stanju UO. IM naročito treba da bude prilagođen mogućnostima operatera, njegovim mentalnim sposobnostima, u prijemu i obradi informacija o UO. Na osnovu percepcije IM i spoznaje operatera formira se ''slika'' stanja UO (predstava o realnom objektu, izražena u IM), koji se obično naziva operativni tip, ili konceptualni model (concept – shvatanje, predstava). Taj model se upoređuje sa nekim etalonom koji je zapamtio operater i koji odražava očekivano stanje UO. Na osnovu rezultata upoređivanja formiranog konceptualnog modela, sa etalonom, operater donosi odluku u vezi sa UO. Odluka se realizuje efektorima,30 bilo lokomotornim organima (rukama) ili rečima (glasom). Posredstvom efektora dejstvuje se na sredstva za upravljanje uređajem (ulazne jedinice), odnosno stvara se komandna informacija za informacioni aritmetičko-logički uređaj, a kao rezultat ove komande realizuje se neophodna promena stanja UO. Tako se završava jedan ciklus regulacije, pod kojim se podrazumeva vreme od momenta izmene stanja UO do momenta u novo (zahtevano) stanje. Sistem ''čovek-računar'' se sastoji od čoveka-operatera (grupe operatera) i mašine (računara) čijim posredstvom čovek ostvaruje radni zadatak. Čovek-operater je ono lice (čovek) koji ostvaruje radni zadatak čiju osnovu čini međudejstvo sa predmetom rada, mašinom (računarom) i spoljnim svetom, posredstvom IM i UO. Osnovu klasifikacije sistema ''čovek-računar'' (SČR) čine četiri grupe obeležja: namena sistema, broj lica angažovanih u SČR, složenost mašine (računara) i tip međuveze (slika 5.1.2).

30

Izdavanje komandi avionu (pojedinim vojnim, borbenim) moguće je vezom (pomicanjem) očne jabučice i vizira na zaštitnoj kacigi pilota.

66

SČR

Epizodna

Tip međuveze

Neprekidna

Sistemski kompleksi

Složene

Proste

Instrumentalne

Prema karakteristikama komponenti računara

Polisistemi

Monosistemi

Istraživački

Broj lica u SČR

Informtivni

Za obuku

Poslužilačka

Upravljački

Namena sistema

Slika 5.1.2. Klasifikacija SČR Namena sistema (računara) ukazuje na odlučujući uticaj na ostale karakteristike sistema i zato se smatra ključnom. Namena sistema (računara) može da se podeli na sledeće klase: — upravljačka – osnovni zadatak čoveka je da upravlja mašinom (računarom) — poslužilačka – čovek se javlja u ulozi kontrolora stanja računara, defektatora neispravnosti i tome sl. — edukativna – sistem se koristi za razvoj određenih čovekovih znanja ili veština (navika) — informativna – omogućuje pretragu, sakupljanje ili dobijanje neophodnih informacija — istraživačka – računar se koristi prilikom analize informacija koje ''sam'' prezentuje ili informacija iz drugih izvora. Posebnost upravljačke i poslužilačke klase jeste u tome što je međudejstvo usmereno ka računaru i on postaje cilj i objekat rada. Kod edukativnih i informativnih sistema međudejstvo je usmereno ka čoveku. Kod istraživačkih sistema objekti međudejstva su i čovek i mašina. Prema broju lica, sistemi se dele na: — monosisteme – u njihovom sastavu je samo jedan čovek i jedan ili nekoliko računarskih uređaja — polisisteme – u njihovom sastavu je tim lica u međudejstvu sa računarskim sistemom. Efektivnost rada SČR zavisi od toga kako su podeljene funkcije između čoveka i računara. Radi toga, neophodno je da se uporede karakteristike računara i čoveka. Odgovarajući podaci dati su u Tabeli 5.1.1.

67

Karakteristika

Čovek

2. 3. 4. 5. 6. 7. 8. 9. 10. 11. 12. 13.

Sposobnost integracije raznorodnih elemenata u jedinstveni sistem Sposobnost predviđanja događaja u spoljnjem svetu Mogućnost rešavanja nejasno definisanih zadataka Mogućnost raspoznavanja situacija u spoljnjem svetu Sposobnost orijentacije u vremenu i prostoru Sposobnost samoposmatranja (introspekcije) Elastičnost u načinima obrade informacija Tip rešavanja problema Mogućnost apstrakcije stvarnosti Sposobnost generisanja ideja Sposobnost rada u nepredviđenim okolnostima Sposobnost povećanja sopstvenih mogućnosti Nastavak rada bez prekida

14.

Tačnost i brzina računanja

15. 16.

Reakcija ''stimulacija – odgovor'' Sposobnost selekcije informacija Sposobnost korišćenja suvišne informacije

1.

17.

Da '' '' '' '' '' Neograničena Opšti Da '' Može Da Neznatno Niska Spora i nestabilna Visoka

(redundantne)

Da

18.

Broj istovremeno primljenih i obrađenih informacija

Neveliko

19. 20.

Sposobnost u prekodiranju informacija Sposobnost provere

Da Slaba U širokim granicama Da Visoka

21.

Osetljivost

22. 23.

Sposobnost uopštavanja Elastičnost

Računar U ograničenim slučajevima Uslovljena '' '' '' '' '' '' Ne '' Uslovljena '' Moguće Teoretski neograničeno Brza i stabilna Uslovna Ne Teoretski neograničeno Veoma ograničena Dobra U zadatim granicama Ne Ograničena

Tabela 5.1.1. Funkcionalne karakteristike čoveka i računara Efektivnost rada SČR može da se evaluira isključivo u optimalnim radnim uslovima. Inače efektivnost pada – moguće su greške i šteta u radu. Inženjerska psihologija, između ostalog, bavi se psihološkim i psihofizičkim karakteristikama čoveka, sledstveno tome inženjersko-psihološkim zahtevima ka tehnici i ineženjersko-psihološkim osnovama organizacije rada, o čemu će dalje biti reči. U skladu sa stavovima inženjerske psihologije, istraživački i projektantski aspekti informacionog međudejstva čoveka sa tehničkim delovima SČR, u ulozi inženjerskopsiholoških osobina, analiziraju se pokazatelji koji određuju kvalitet i kvantitet procesa prijema, prerade i predaje informacija od strane čoveka u procesu upravljanja u SČR. U vezi sa mogućnostima SČR treba analizirati i mogućnosti, pre svega, ''kanala'' za prijem informacija sa tehničkog sredstva, njihove funkcionalne mogućnosti i karakteristike. Ti kanali se objedinjuju u jednu grupu tzv. [Lom82] analizatora. Složenost procesa prerade informacija u SČR, postojanje sistema sa principijelno raznim sistemima upravljanja, zasnovanim na primeni različitih načina analize, prerade informacija i dobijanja rešenja, uslovljava da se izdvoji druga grupa inženjerskopsiholoških karakteristika koje determinišu intelektualnu delatnost čoveka. Iz velikog skupa takvih karakteristika izdvajaju se dve – pamćenje i mišljenje. 68

Treća grupa inženjersko-psiholoških karakteristika uključuje karakteristike tehničkih sredstava (računara) kojima se upravlja. To su tzv. vremenske karaktersitike (mogućnosti) izvršavanja određenih aktivnosti i podaci o pouzdanosti. Četvrta grupa, koja određuje uslove optimalnog funkcionisanja fiziološkog sistema čoveka-operatera, obuhvata antropometrijske karakteristike.31 Sve navedene karakteristike su stohastičkog karaktera i u tesnoj su međusobnoj zavisnosti, ali zavise i od brojnih unutrašnjih i spoljnih faktora koji utiču na čoveka. Inženjersko-psihološki zahtevi [Lom82], (IPZ) – to su zahtevi ka SČR (njegovim podsistemima, njegovim sastavnim delovima, elementima) koji determinišu karakteristike čoveka-operatera i ustanovljeni su radi optimizacije njegovog rada. IPZ se uzimaju u obzir prilikom projektovanja posebno za sve elemente SČR i za SČR u celini. U najopštijem vidu IPZ su usmereni ka obezbeđenju maksimalne efektivnosti SČR uz poštovanje dopuštenih normi delatnosti čoveka i pouzdanosti tehničkog sredstva. Taj zadatak se formalizuje kao zatev da se maksimizira ciljna funkcija: E = f (x1, x2, ….., xn y1, y2,…., ym z1, z2, ….., zl) uz ispunjenje graničnih uslova: xi < xi dop (i = 1,2,…,n); yj < yj dop (j = 1,2,…,m); zk < zk dop (k = 1,2,…,l), gde je E – pokazatelj efikasnosti funkcionisanja SČR, xi, yj, zk, respektivno, radne karakteristike čoveka, tehničkih sredstava i faktor poslovne sredine xi dop, yj dop, zk dop, dopušteni su iznosi tih faktora. Svakako da je osnova efikasnosti informacionog sistema dublja od ovoga. Inteligentno ponašanje, delom čoveka, pa i mašine, ili oba, jeste otkrivanje značenja izmena uzetih radi izmena sadržaja. U tome leži osnova efikasnog (rentabilnog) čovek – računar informacionog sistema. U zavisnosti od osobina čoveka koje se razmatraju u sistemu SČR zahtevi prema čoveku se dele na: sanitarno-higijenske, fiziološke, psiho-fiziološke i psihološke.

31

Javno dostupni standardi u vezi sa zračenjem računara definišu zračenja prema ekološkim, odnosno ergonomskim zahtevima za elektronsku opremu. Postoje na primer sledeći švedski standardi: MPR-II – standard švedske vlade u vezi sa maksimalnom radijacijom video terminala, a prema SCPE (Swedish Confederation of Professional Employees) TCO'92 u vezi sa smanjenjem magnetskog polja, električnom bezbednošću, i ekološko-ergonomski (TCO'95 do TCO'99) standardi za elektronske uređaje. Prema ovim standardima, definiše se veličina električnog polja u V/m i magnetskog polja u A/m. Merno područje za MPR-II je od 50 cm oko monitora, a za TCO merno područje je delom nešto strože, ispred ekrana – 30cm. Za MPR-II veličina električnog polja kreće se od 2,5 V/m do 25 V/m, a za TCO veličina ovog polja je od 1,0 V/m do 10 V/m.

69

Najvažniji (npr. fiziološki zahtevi) objedinjeni su u okviru mikroklime radne sredine. Nju karakterišu: visina temperature i relativne vlažnosti vazduha, brzina kretanja vazduha, zagađenost i jonizacija vazduha, količina kiseonika, ugljen-dioksida, posebno ugljenmonoksida u vazduhu, stepen radijacije, pre svega u infracrvenom i ultraljubičastom delu spektra elektromagnetnog zračenja, šum (celokupnost zvukova u zavisnosti od jačine i frekvencije), osvetljenje (količina svetlosti i boje), vibracije,... Sanitarno-higijenski zahtevi određuju neškodljive i bezopasne uslove rada određene radnom sredinom. Oni se određuju na osnovu higijensko-sanitarnih normativa. Higijenski zahtevi omogućuju poštovanje mikroklimatskih uslova, grubo dato u Tabeli 5.1.2. Doba godine

Kategorija težine rada32

Hladni i pr- Laki elazni peri- Srednje teški od Težak Laki Topli period Srednje teški Težak

Temperatura u ºC

Relativna vlažnost u %

20–23 17–20 16–18 22–25 20–23 18–20

60–40 60–40 60–40 60–40 60–40 60–40

Brzina kretanja vazduha u m/s (ne više) 0,2 0,2–0,3 0,3 0,2 0,3–0,4 0,5

Tabela 5.1.2. Optimalne norme temperature, relativne vlažnosti i brzine kretanja vazduha u radnom prostoru Visoka temperatura negativno utiče na psiho-fiziološke funkcije i samim tim pouzdan rad čoveka-operatera. Pri relativnoj vlažnosti od 90–100% nastupa pregrevanje ljudskog organizma. U zavisnosti od spoljne temperature od 21 do 30ºC, pri tolikoj vlažnosti, pojavljuje se umor i gušenje, nemoguć je težak rad, zdravlje dolazi u opasnost. Inženjersko-psihološke osnove organizacije rada određene su zadacima naučne organizacije rada. Oni se dele na opšte i posebne zadatke. Opšti zadaci su: 1. Razrada tehnologije obrade podataka – definisanje funkcija, zadataka i aktivnosti u IS 2. Razrada organizacione strukture. Saobrazno tački 1, definisanje organizacionih celina (funkcionalnih, teritorijalnih, mešovitih) u okviru IS i 3. Planiranje redosleda realizacije radnih aktivnosti. Posebni zadaci naučne organizacije rada su: 1. Organizacija rada na radnom mestu i 2. Optimizacija uslova rada i žvota. Obezbeđujući optimalne uslove rada, uz dobru organizaciju rada na svakom radnom mestu, može da se očekuje i pouzdan rad ljudstva u IS.

32

Kategorija težine rada, po šestostepenoj skali [Lom82], određena je sanitarno-higijenskim i psihofiziološkim faktorima. Psiho-fiziološki faktori su: fizičko, dinamičko i statičko opterećenje, smene, trajanje neprekidne aktivnosti, osvetljenje radnog mesta, veličina, broj i složenost objekata koji se posmatraju, procenat visokog nivoa psihološke koncentracije u odnosu na ukupno radno vreme, tempo – broj pokreta u vremenu, broj signala u jedinici vremena, monotonost, režim rada i odmora, nervno-emocionalna napetost.

70

5.1.3. Prevencija kriminala Atributi koji determinišu ovu sferu [Pet00] su: motiv, spremnost i mogućnost. Iako su ovi faktori međuzavisni autor ih posebno izdvaja i daje matematičku jednačinu koja označava konceptualnu prezentaciju kompjuterskog kriminala: Vk= (M · N · P)/1000, gde su: Vk – verovatnoća izvršenja kriminalnog dela (0.0–1.0), M – motivacioni faktor (0–10) N – faktor spremnosti (0–10) i P – faktor mogućnosti (0–10). M i N se vezuju za ličnost a P za sistem (koji je moguće lakše ili teže ugroziti). Prema ovom konceptu, na primer osoba sa motivom M = 10, faktorom spremnosti N = 10 (motiv, volja – odlučnost i sposobnost) je determinisana domenom namere - kriminala. Navedeni faktori determinišu domen namere – kriminala. Međutim, ljudski faktor može da bude uzrok incidenta iz nepažnje. Kako rešiti problem prevencije za ovaj faktor? Kako formirati humanu sferu? Deo odgovora leži u navedenoj formuli. Iz analize [Pet00] proizlazi da iz ugla potencijalnog napadača presudnu ulogu ima motiv, psihološki faktor koji, pod uticajem spoljnih i unutrašnjih činilaca, navodi određenu osobu da izvrši kriminalno delo. Da bi predupredili (proverili) da li postoji motiv za kriminal kod, pre svega, potencijalnog saradnika, obavezno treba izvršiti proveru preko nadležnog suda da li je radnik bio kažnjavan zbog nekog iz nepoštenja izvršenog krivičnog dela i da li je radnik u krivičnom postupku, a ako je već bio u radnom odnosu, da li se proverava njegov dosadašnji odnos prema radu. Stalnim nadzorom, neposrednim kontaktom sa saradnicima treba nastojati da se uoče mogući motivi za kriminal. Prema Tabeli 5.1.3. [Pet00] mogu da se otkriju mogući motivi za kriminal – prevaru. MUŠKARCI Ukupno Življenje iznad mogućnosti Kriminalni karakter Kockanje Alkoholizam (zavisnost) Uticaj supruge koja je koristoljubiva Neodgovornost Ekstravagancija supruge ili dece Loši poslovni rezultati Bolest u porodici Akumulacija dugova Loše društvo (biti naivan) Ljutnja na poslodavaca Ostali razlozi

% 100 24,8 13,5 13,0 10,1 6,6 4,0 3,9 2,9 2,8 2,8 2,8 2,7 10,1

ŽENE Ukupno Življenje iznad mogućnosti Porodični troškovi Ekstravagancija supruga ili dece Kriminalni karakter Uticaj povlašćenih muškaraca Želja za novim početkom Bolesti u porodici Alkoholizam (zavisnost) Lična bolest Loše društvo (biti naivan) Mentalni problemi Ljutnja na poslodavaca Ostali razlozi

Tabela 5.1.3. Motivacioni faktori prevare 71

% 100 19,8 11,5 10,3 10,3 9,0 5,1 5,1 4,5 3,8 3,2 2,7 1,9 12,8

Uočavamo da (ne)motivisan, (ne)odgovoran, (ne)stručan, u krajnjem (ne)kompetentan ili jednostavno rečeno (ne)sposoban subjekat u IS presudno utiče na nivo njegove bezbednosti. On će primereno njegovoj (ne)kompetentnosti bezbednost i performanse IS povećavati ili smanjivati. (Ne)kompetentnost će da odluči o svim drugim sferama bezbednosti IS. 5.1.4. Higijensko-tehnička zaštita U radu u računarskom centru ljudstvo se susreće sa opasnostima po život i zdravlje. Stradanje ljudstva je najveća katastrofa za IS. Da bi se preveniralo stradanje ljudstva, sprovode se mere higijensko-tehničke zaštite. Koncentracija elektronskih (električnih) uređaja u računarskom centru dovodi u fokus mere za zaštitu od elektrouređaja. Prilikom proticanja kroz ljudsko telo, električna struja štetno deluje po organizam. Do toga dolazi pri dodiru sa pojedinim delovima elektrouređaja koji se stalno nalaze pod naponom ili pod njega dospevaju usled oštećenja izolacije ili zaštitnih uređaja (tabela 5.1.4). Jačina Karakter dejstva struje (mA) Naizmenična struja Istosmerna struja 0,6–1,5 Početak osećanja, lagano bockanje Ne oseća se 2–3 Jako bockanje Ne oseća se 5–7 Grčevi u rukama Osećaj zagrevanja Jaki grčevi u rukama, još se ruke Jače zagrevanje 8–10 mogu odvojiti od uređaja Trenutna paraliza ruku. Ruke se ne Još jače zagrevanje i neznatno grč20–25 mogu odvojiti od uređaja. Jaki enje mišića bolovi, otežano disanje Paraliza disanja. Početak fibri- Jako zagrevanje i grčenje mišića. 50–80 lacije srca Otežano disanje Paraliza disanja. Tokom trajanja Paraliza disanja 90–100 više od 3 sec paraliza srca Parliza disanja i srca pri dejstvu 3.000 i više dužem od 0,1 sec. Uništavanje ćelija od zagrejavanja strujom Tabela 5.1.4. Dejstvo električne struje na ljudski organizam u zavisnosti od vrste i jačine Za čoveka je smrtonosna struja jačine od 50 mA. Ljudski organizam pri različitim uslovima (vlažna koža, labilan nervni sistem itd) može da ima različite otpornosti (od desetak do nekoliko stotina oma). Zbog toga po ljudski život mogu da budu opasni čak i vrlo niski naponi (30–40 V). Prilikom teške povrede strujom, čovek gubi svest, prestaje da diše i srce prestaje da radi. U naročito teškim slučajevima, kada se povređenom blagovremeno ne ukaže pomoć, nastupa smrt. Prilikom povrede strujom potrebno je: — brzo osloboditi povređenog od dodira sa delovima pod naponom 72

— primeniti veštačko disanje, čak i pri vidljivim znacima smrti (prestalo disanje i kucanje srca) — veštačko disanje sprovoditi do potpunog oživljavanja ili do pojave drugih znakova smrti – samrtnog plavetnila koje se ispoljava tek nakon nekoliko časova posle smrti. Samo lekar može da naredi da se prestane sa daljim pružanjem pomoći. Štetno dejstvo struje može se ispoljiti i u vidu opekotina. Prva pomoć je, pri tome, ista bez obzira na poreklo opekotine. U radu sa elektrouređajima naročito je zabranjeno: — upotreba elektrouređaja koji nema zaštitno uzemljenje. Otpornost uzemljenja ne sme biti veća od 4 Ω — upotreba sklopki, prekidača i razvodnih kutija bez zaštitnih omotača — zamena osigurača i remont električnih uređaja od strane neovlašćenih lica — umesto predviđenih osigurača upotrebljavati neprojektovane — dodirivati uređaje ili ulaziti iza ograde uređaja sa visokim naponom kada oni nisu isključeni iz mreže. Radi zaštite od struje, obaveno se treba pridržavati sledećeg: — ljudstvu je dozvoljen rad sa elektrouređajima samo posle obuke u korišćenju ovih uređaja i posle upoznavanja sa pravilima tehničke zaštite a naročito postupcima prve pomoći — svi radovi na elektrouređajima pod visokim naponom (višim od 250 V) izvode se grupno (najmanje dva čoveka). Rad sa uređajima pod visokim naponom dozvoljava se samo licima bez povreda i koja su potpuno zdrava — u radu sa neispravnim uređajima treba koristiti samo ispravne instrumente — u radu sa uređajima pod visokim naponom treba koristiti specijalna zaštitna sredstva, oko visokonaponskih uređaja moraju se koristi gumene prostirke — na svim mestima na kojima je moguć dodir sa provodnicima i delovima uređaja koji se nalaze pod naponom obavezno treba postaviti tablice sa adekvatnim upozorenjem (''mrtvačka glava'' i natpis ''ne dirati – smrtonosno'') — sve popravke, remontne i montažne radove treba izvoditi samo pri isključenom napajanju uređaja, isprazniti sve kondenzatore — pre uključivanja izvora napajanja proveriti napon izvora i polaritet — prilikom provere visokog napona instrumentom ne pridržavati oba pipka instrumenta istovremeno. Najpre se jedan pipak fiksira na jedan od polova, a zatim se postavlja drugi pipak na drugi pol. Pored posebnih mera higijensko-tehničke zaštite, zbog stradanja ljudstva usled strujnog udara, u opšte mere spadaju i: — provera i obuka ljudstva u poznavanju mera zaštite — obezbeđenje sredstava33 (ormarić) za prvu pomoć.

33

Iskustvo autora devedesetih godina. Zbog zadesne samopovrede dežurajući uz računar, sam, noću, mogao sam iskrvariti jer u računarskom centru nije bilo sredstava (ormarića) za prvu pomoć.

73

5.2. Normativna sfera ''Pravo (normativi – N. Viner) se može definisati kao etički nadzor nad komunikacijama... pogotovo kada je ovaj normativni vid pod kontrolom neke vlasti dovoljno jake da svojim odlukama da delotvornu društvenu sankciju.'' To je proces podešavanja "sprega" – koje vezuju ponašanje pojedinaca kako bi se moglo ostvariti ono što zovemo pravdom. Pojmovi o pravdi se opravdavaju najvišom sankcijom – moralnim kodeksom. Međutim, nikakvo ljudsko poštenje ni širokogrudost ne mogu samo po sebi osigurati pravedan i sprovodljiv pravni kodeks. Prema tome, samo nedvosmislen normativ obezbeđuje i nedvosmislenost prava i obaveza subjekta u određenim okolnostima. Pod normativima podrazumevamo akta: - ustav o međunarodni ugovor i sporazumi34 zakon i • podzakonska akta: o pravilnik (pravilo) o uredba o ukaz o naredba o odluka o rešenje o statut o uputstvo. Normativi obavezuju i propisuju izvršenje neke radnje i način izvršenja te radnje. Kaskadnim prikazom ilustrovana je hijerarhija normativa. Podrazumeva se da su na najvišem nivou podzakonskih akata pravilnici (pravila), a na najnižem – uputstva. Kaskada normativa podrazumeva da su normativi na nižem nivou usklađeni sa normativima na višem nivou. Ustav i normative snage zakona donosi najviše zakonodavno telo u državi – parlament. Podzakonska akta donose druge institucije, nivoa tzv. izvršne vlasti, u skladu sa zakonom. Najnoviji radovi kao i radovi od pre dvadesetak godina upućuju na činjenicu da normativno regulisanje problema kod nas, u ovoj oblasti, zanačajno zaostaje za tehnološkim osnovama postojećih informacionih sistema. Većina ili svi normativi regulišu (ne)mogućnost zloupotrebe IS. Mnoge zemlje na Zapadu davno su donele odgovarajuće zakone o zaštiti podataka. Prvi zakoni ove vrste su se pojavili još šezdesetih godina prošlog veka u nekim državama SAD. Na nacionalnom nivou, zakon o zaštiti podataka je među prvima donet u Švedskoj – 1971. godine. Savezna Republika Nemačka je 1977. godine usvojila zakon o zaštiti podataka o pojedincu u procesu automatske obrade podataka. U Francuskoj je 1978. godine donet zakon o zaštiti podataka pa je ona time, posle Švedske i Nemačke, postala treća evropska zemlja koja ima nacionalni zakon o zaštiti podataka. Francuski zakon, u odnosu na druge, predviđa opsežne 34 Tačkom 16. Ustavne povelje Državne zajednice Srbije i Crne Gore definisano je da međunarodni sporazumi imaju primat nad Ustavnom poveljom.

74

pravne sankcije za povredu propisa. Velika Britanija tada nije imala poseban zakon o zaštiti podataka. Međutim, postojeći zakoni Velike Britanije omogućavaju gotovo potpunu, zaštitu ličnih podataka putem drugih oblika pravne zaštite. U našoj državi (SFRJ, SRJ, SiCG, Srbiji) nije postojao zakon koji bi eksplicitno pokrivao oblast zaštite podataka. Međutim, tzv. pozitivno zakonodavstvo regulisalo je pitanja zaštite podataka ne vodeći računa o načinu njihovog prikupljanja i obrade, kao ni o specifičnostima funkcionisanja informacionih sistema u okviru kojih se prikupljaju, obrađuju i iskazuju podaci. Pri prenosu informacija kroz mrežu, što je danas čest slučaj, zakoni u nekim zemljama nalažu da se primeni izvestan stepen zaštite. Aprila 1996. godine napravljen je predlog (saveznog) Zakona o autorskim i srodnim pravima. Predlagač je bilo Savezno ministarstvo za nauku, razvoj i životnu sredinu. Ovim predlogom rađaju se i prava proizvođača baza podataka kao srodna prava. Prema ovom predlogu, tužbom se zahteva: "utvrđivanje povrede prava, njen prestanak, uništenje ili preinačenje predmeta kojima je izvršena povreda, uništenje ili preinačenje alata i opreme kojima su izvršene povrede, naknada štete, objavljivanje presude. Ukoliko utvrdi povredu ili mogućnost povrede, na zahtev nosioca prava ili po službenoj dužnosti, sud može izreći privremenu meru oduzimanja ili isključenja iz prometa predmeta kojima se vrše povrede ili zabraniti nastavljanje započetih radnji. Sud može narediti, radi obezbeđenja dokaza, a bez prethodnog obaveštavanja, pregled BP i zaplenu dokumenata." Zakon je usvojen 23. maja 1998. godine. Za povrede prava koje predstavljaju krivično delo, prema ovom Zakonu, sud može izreći kazne zatvora ili novčane kazne. Pored krvičnog dela, moguće je u ovakvom slučaju pravno lice kazniti i za privredni prestup. Na osnovu Odluke o obavljanju platnog prometa elektronski – Službeni list SRJ br. 51/99, tačka 11:"Učesnik u platnom prometu... primenjuje propisane metode zaštite podataka i šalje ih elektronski davaocu usluga, koji ispravnost poruke proverava primenom sistema zaštite, primenjuje metode zaštite propisane za slanje podataka i poruku elektronski šalje učesniku u platnom prometu – primaocu elektronske poruke..." Tačkom 7. regulisano je: "Narodna banka Jugoslavije će uputstvom za primenu tehnološko-tehničkih elemenata u elektronskom platnom prometu propisati obim i način primene standarda u oblasti komunikacija i zaštite elektronskog platnog prometa i utvrditi nivo zaštite računarskokomunikacione mreže." Poznati normativi kod nas ne obavezuju subjekte (vlasnike) IS da uvedu bezbednost u njihove IS izuzev u pojedinačnim slučajevima, odnosno u pojedinim segmentima IS. Naime, ne može se prihvatiti da je dovoljna prevencija ako i ukoliko se u normativnom domenu (u većini slučajeva) samo saopštavaju (zaprećuju) kaznene mere koje će se primeniti ako dođe do (namernog) ugrožavanja IS. Srbija se od 18.04.2003. godine uvrstila u red modernih zemalja – podneta je prva elektronska krivična prijava. Na sajtu Drugog opštinskog javnog tužilaštva u Beogradu, tog dana, popunjen je obrazac i podneta putem Interneta prva krivična prijava. Prijava je podnesena na osnovu seta zakona usvojenih 12.04.2003. godine.

75

To su zakoni koji sankcionišu sledeća krivična dela: — neovlašćeno korišćenje računara i računarske mreže — računarska sabotaža — pravljenje i unošenje računarskih virusa — računarska prevara — ometanje funkcionisanja elektronske obrade i prenosa podataka i računarske mreže — neovlašćen pristup zaštićenom računaru ili računarskoj mreži — sprečavanje i ograničavanje pristupa javnoj računarskoj mreži. Konačno početkom ovog veka, tačnije 2000. godine, Međunarodna organizacija za standardizaciju ISO i Međunarodna komisija za elektrotehniku IEC koji čine specijalizovani sistem svetske standardizacije donose Međunarodni standard ISO/IEC 17799. Standard je pripremio Britanski institut za standarde (kao BS 7799), a združeni tehnički komitet ISO/IEC JTC za Informacione tehnologije usvojio ga je posebnom "brzom procedurom", paralelno sa odobrenjem nacionalnih tela pri ISO i IEC. Ovaj standard je skup pravila namenjenih održavanju visokog nivoa bezbednosti IS. On daje i detaljne upute za kontrolu bezbedosti računara i računarskih mreža, takođe, on je i dobar vodič za vođenje politike bezbednosti u IS i održavanja visokog nivoa svesti o (potrebi) bezbednosti IS. Praksa IS nalaže da se interno utvrde sledeći normativi. Pravilnik (plan zaštite) kojim su normativno interno regulisana pitanja bezbednosti IS. Ovim Pravilnikom se definišu skupovi (zaštitnih) preventivnih i sanacionih mera. Višim aktom poslovnog sistema obavezuje se top menadžer da donese ovakav Pravilnik. Prema [ISO00], tačka 3.1.1, preporučuje se da u IS rukovodstvo odobri dokument o politici zaštite informacija, da ga objavi i prosledi u skladu sa potrebama svim zaposlenima. U njemu treba da budu definisane obaveze rukovodstva i iskazan stav organizacije prema upravljanju zaštitom podataka. U cilju preveniranja štete u IS neophodno je imati izrađen katalog opasnosti po IS. Jedna od značajnijih preventivnih (normativnih) mera jeste sklapanje ugovora sa osiguravajućim preduzećem. Mogućnost potpunog otkazivanja IS mora da bude prevenirana sklapanjem ugovora sa nekom drugom organizacijom u korišćenju rezervnog backup sistema. Podrazumeva se puna kompatibilnost sa IT backup sistema. Uz računarski sistem35 korisno je voditi dnevnik rada i evidenciju intermitentnih grešaka. U okviru preventivnih mera propisuju se (definišu se) zaštitne mere iz svih (ostalih) sfera. Opet uočavamo opravdanost konteksta koncentričnih sfera. Sfera normativa obuvata sve ostale sfere zaštite izuzev humane, jer normative pišu – ljudi. Za slučaj katastrofalnog ispadanja sistema, nepohodno je da postoji plan za ponovno uspostavljanje punog pogona (Disaster Recovery, Plan-DRP). 35

Računarski sistem, ''mašinski'' deo IS, samo računar sa periferalima.

76

U okviru internih normativa, deo sanacionih mera iz plana zaštite, poželjno je imati uputstva za slučajeve: — ratne opasnosti (pre ratnih dejstava, u toku i posle) — požara — loma — vandalizma ili sabotaže — kvara na klima uređajima — ispadanja napajanja električnom energijom — ispadanja telekomunikacionih linija — ispadanja hardvera i — elementarnih nepogoda. U okviru sanacionih mera treba da postoji propis koji garantuje validnost sprovođenja dokaznog postupka, ispitivanja uzroka štete. Za podršku akciji, prema [ISO00], protiv neke osobe ili organizacije potrebno je rspolagati odgovarajućim dokazima. Kad god ova aktivnost predstavlja internu kaznenu meru neophodni dokazi se opisuju kroz unutrašnje procedure. Kada takva aktivnost uključuje zakon, građanski ili krivični, podneti dokazi treba da su u skladu sa pravilima dokazivanja koje utvrđuje odgovarajući zakon ili sa pravilima specifičnog suda u kojem se slučaj ispituje. Svi normativi podležu reviziji – planskoj proveri i oceni korektnosti i, prema potrebi, izmeni. Problemi zaštite informacija, na primer, u Velikoj Britaniji, publikovani su maja 1992. od strane organa vlade V. Britanje u dokumentu ''Zahtevi korisnika prema standardima zaštite informacija'' (User rеquirеmепt fоr IТ Sесuritу Stаndаrds). U dokumentu su bili dati rezultati istraživanja od strane Britanskog instituta za standarde i nekih nevladinih institucija koje su se bavile bezbednošću informacija. Na projektu su sarađivali i predstavnici još osam firmi iz Britanije: ВОС Grоuр, Вritish Теlесоmmuniсаtions, Маrks and Sреnсеr, Мidland Ваnk, Nаtiоnwide Вuilding Society, Shеll Intеrnаtionаl, Shell UК i Unilеvеr. Rezultat rada te grupe objavljen je u septembru 1993. godine u aktu pod nazivom ''Norme upravljanja bezbednošću informacija'' (Тhе Соdе оf Рrасtiсе fоr infоrmаtiоn Sесuritу Маnаgеmеnt). Ove norme propisuju ponašanje rukovodstava poslovnih sistema i lica koji odgovaraju za razvoj i stanje informacione bezbednosti u poslovnim sistemimima. U suštini one su obavezujuće praktične mere primenljive u poslovnom sistemu.

77

5.3. Organizaciona sfera U renesansnoj Veneciji [Vin73], sa perfektno organizovanom službom sakupljanja vesti (informacija), bila je do te mere naglašena nacionalna podozrivost da su po nalogu države tajno ubijani iseljenici – zanatlije, kako bi se sačuvalo isključivo pravo na neke veštine i umetnosti. Pod organizacionim sistemom može se podrazumevati svaki oblik udruživanja ljudi radi ostvarivanja zajedničkih ciljeva. U svakodnevnoj praksi ovaj sistem se naziva organizacija. Organizacija se bavi ljudima, ali i skladnim povezivanjem ljudi i sredstava, uključujući i ostale resurse (opremu, prostor, energiju, vreme, informacije). U oblasti organizacije paralelno se razvijaju dve oblasti pitanja, i to: (1) – organizaciona struktura i (2) – uloga čoveka u organizaciji. Od posebnog značaja je funkcionisanje organizacije koje oživljava organizacionu strukturu i pokreće ljude na svrsishodno delovanje u ostvarivanju opšteg cilja organizacije. Ciljevi se biraju iz skupa vrednosti (individualne, grupne, organizacijske, vrednosti okoline, društvene vrednosti) i predstavljaju željena stanja u budućnosti. Oni su osnovni pokretač svake aktivnosti u organizaciji i predstavljaju svrhu njenog postojanja. Neprestanim praćenjem realizacije ciljeva, organizacija stiče uvid u kvalitet svog funkcionisanja i u skladu sa ostvarenim rezultatima, koriguje svoje delovanje. Međutim, organizacija je i zbir pravila na osnovu kojih se odvija interakcija elemenata (objekata) sistema, prema tome, organizacioni sistem je determinisan organizacijom. Razvoj tehnologije višestruko je uticao na razvoj organizacionih sistema pa i na funkciju upravljanja. S jedne strane, omogućena je centralizacija upravljanja sa većim ili manjim brojem organizacionih jedinica. Kroz proces departmanizacije36 dolazi se do ovih jedinica. Ona ima više vidova, i to: — funkcionalni — teritorijalni — numerički i — kombinovani. Izdvajanjem funkcionalnih celina na osnovu grupisanja poslova (zadataka) koji se realizuju u nekoj organizacionoj jedinici (delu) organizacionog sistema dolazi se do funkcionalne departmanizacije ovog sistema. Na primer: uprava – proizvodnja, komercijala, marketing, transport itd. Brojni su, takođe, primeri i teritorijalne organizacije nekog organizacionog sistema. Uprava carina, na primer, organizuje se na osnovama teritorijalne departmanizacije. Numerički tip je, pre svega, karakterističan za vojsku. Kombinacijom prethodnih vidova dolazi se do kombinovane departmanizacije organizacionog sistema. Osim toga, razvoj tehnologije traži veći broj specijalista koji mogu da donose odgovarajuće odluke upravljanja u skladu sa mogućnostima sistema.

36 Departman (francuski – department) [Vuj80], podela izvesnih poslova među raznim licima jednog kolegijuma: odeljenje, delokrug, srez, okrug...

78

Na taj način uočavamo potrebu organizacionog sistema za uspostavljanjem sistema za obezbeđenje (kvalitetnih) informacija. Taj sistem se naziva informacioni sistem. Tehnološki gledano taj sistem se bavi ''preradom'' podataka i/ili informacija u informacije (slika 5.3.1). Računarski sistem je srž i reprezent IS, koji se neposredno bavi preradom podataka.

Slika 5.3.1. IS kao tehnološki sistem IS, u odnosu na ostale delove poslovnog sistema, može da bude jedinstvena celina, neposredno ispod top menadžera. U okviru funkcionalne departmanizacije, IS može da bude deo bilo kog funkcionalnog departmana. Depratmani u IS se formiraju na osnovu funkcija koje se realizuju u IS. Neke od funkcija su: — upravljanje podacima, sa zadacima: prihvat podataka, ispitivanje i raspodela podataka — planiranje termina, sa zadacima: korišćenje računara, planiranje rada, planiranje osoblja — obrada podataka i — arhiviranje, sa zadacima: arhiviranje programa i arhiviranje podataka.37 Sa promenama u tehnologiji IS pojavile su se nove funkcije, na primer: — administracija baza podataka i — administracija računarskih mreža. Zajedničke funkcije su: — razvoj (sistemski) — održavanje — upravljanje i — rukovođenje. U okviru funkcija, zadataka i aktivnosti u IS, izdvaja se grupa aktivnosti i zadataka koji su vezani posebno za bezbednost IS. Ova činjenica upućuje na potrebu imenovanja dužnosti u IS koja se bavi samo ovom oblašću. Na primer, Saveznim zakonom o zaštiti podataka iz 37

Nabrojane funkcije odnose se na tzv. paketsku obradu podataka koja je u poslednje vreme sve ređa.

79

1972. godine u Zapadnoj Nemačkoj, regulisano je da u IS, koji ima do pet izvršilaca, mora de se imenuje lice koje se uzgred bavi i pitanjima zaštite IS. U IS sa većim brojem izvršilaca imenuje se lice koje se isključivo bavi ovom oblašću. Na osnovu tog zakona na mestu tzv. referenta bezbednosti u računskim centrima u Nemačkoj je 1985. godine radilo između sedam do deset hiljada lica. Jedan od tretmana bezbednosti iz ugla organizacije jeste definisanje tzv. matrice ovlašćenja. Ovom matricom se određuju aktivnosti izvršilaca38 i korisnika koje sve nazivamo zajedničkim imenom subjekti, kao i pristup resursima IS (objekti). S1 S2 … Si

O1 R,W,E

O2

...

Oi

On-1

On E

R R,E

Sm

R

Korisnici S1, S2,…, Sm mogu da R – čitaju, W – pišu i E – izvršavaju, blokiraju, zaustavljaju, brišu, modifikuju, listaju, traže, dodeljuju, rezervišu neke aktivnosti na objektima O1, O2,..., On. 5.3.1. Preporučene mere zaštite Sve organizacione celine IS39 nadležne su za zaštitu IS. Nadležnosti, prava i obaveze, organizacionih celina pa i pojedinaca definišu se planom zaštite i sistematizacijom u kojoj se propisuju i prava i obaveze u vezi sa zaštitom za svako pojedinačno radno mesto. Posebno se propisuju nadležnosti za referenta bezbednosti. Načelno, lokalni referent za bezbednost IS40 nadležan je za bezbednost u svom (pod)sistemu. Ovaj subjekat integriše sve sfere bezbednosti na svom nivou. Pojedinačne nadležnosti [IBM85] ovog subjekta su: — koordinisanje zaštitnih mera za svoj IS — identifikacija objekata koje treba zaštiti — demarkacija i opis područja bezbednosti — obaveštavanje o novim zaštitnim merama — provera postojećih zaštitnih mera putem nadzora izvršenja, pridržavanja i njihove efikasnosti — konsultacija pri razvoju novih projekata — planiranje školovanja i obuke izvršilaca (operativnog osoblja) i korisnika — obezbeđenje autentičnosti strana u komunikaciji u računarskoj mreži — obezbeđenje integriteta podataka — obezbeđenje nemogućnosti naknadnog poricanja transakcija — razvoj mera za obezbeđenje tajnosti podataka — analiza prekršaja i nedostataka i — učestvovanje u planiranju razvoja, dizajna i uvođenja novih zaštitnih mera. 38 Osoblje koje radi u IS: upravno osoblje, administratori, programeri, operateri itd. za razliku od korisnika koji samo koriste usluge IS. 39 Organizacione celine departmani, determinisane su funkcijama IS. 40 Ukoliko je IS složen od podsistema, onda se za svaki podsistem imenuje lokalni referent bezbednosti.

80

Za složeni IS imenuje se glavni referent bezbednosti. Takođe, on integriše sve sfere bezbednosti na svom nivou, a njegove nadležnosti su: — koordinisanje zaštitnih mera za IS41 — identifikacija objekata koje treba zaštiti — demarkacija i opis područja bezbednosti — nosilac je izrade Pravilnika o bezbednosti IS — obaveštavanje o novim zaštitnim merama — provera postojećih zaštitnih mera — konsultacija pri razvoju novih projekata — planiranje školovanja i obuke izvršilaca (posebno lokalnih referenata bezbednosti i operativnog osoblja IS) i korisnika — analiza prekršaja i nedostataka i — planiranje razvoja, dizajna i uvođenja novih zaštitnih mera. Mogući važni subjekti u bezbednosnom sistemu su i glavni administrativni centar za Intranet pa i administratori mreža.42 Glavni administrativni centar za Intranet. Ovaj subjekt je nadležan za tehnički (tehnološki) domen bezbednosti neposredno na IT a posebno na računarskoj mreži. To je područje hardvera, operativnih i mrežnih sistema, zaštite podataka (informacija) u obradi, na medijima i u prenosu, posebno kriptozaštita i TEMPEST. Pojedinačne nadležnosti ovog subjekta u odnosu na IS su: — učešće u definisanju globalne politike zaštite Intraneta poslovnog sistema — učešće u definisanju normativa u odnosu na aktivnosti vezane za javne mreže — saradnja sa međunarodnim institucijama iz srodnih oblasti — formiranje i distribucija standarda i preporuka iz zaštite za celokupni Intranet poslovnog sistema (regionalne i lokalne mreže) — praćenje i analiza globalnog stanja zaštite na Intranetu poslovnog sistema — formiranje i održavanje privremene i javne baze podataka za podršku sistemu zaštite Intraneta poslovnog sistema — razvoj i održavanje baze podataka (evidencije) aktivnosti korisnika na pojedinačnoj radnoj stanici — neposredna pomoć administratorima lokalnih mreža u domenu zaštite — razvoj mera za obezbeđenje autentičnosti strana u komunikaciji u računarskoj mreži — razvoj mera za obezbeđenje integriteta podataka — razvoj mera za obezbeđenje nemogućnosti naknadnog poricanja transakcija i — razvoj mera za obezbeđenje tajnosti podataka. Administratori lokalnih mreža. Ovi subjekti imaju sledeće nadležnosti: — dosledna implementacija propisanih standarda iz domena zaštite u okviru lokalne računarske mreže (LAN) radi prevencije incidentnih situacija i efikasne reakcije u slučaju incidenata — praćenje stanja zaštite na LAN mreži — nadzor nad bazom podataka (evidenciji) aktivnosti korisnika u LAN — reakcija na uočenu neispravnost 41 42

U ovom slučaju mere se odnose na jedinstveni informacioni sistem poslovnog sistema a ne na podsisteme. Lokalnih i globalne računarske mreže.

81

— prosleđivanje informacija o incidentnim situacijama na LAN glavnom administrativnom centru i — pomoć korisnicima LAN u domenu razumevanja značaja zaštite i implementaciji mehanizama zaštite. Organ bezbednosti PS. Ovaj subjekat može da preuzme nadležnosti referenta bezbednosti za IS. Podrazumeva se da se bezbednost IS integriše u sistem bezbednosti celog PS. Specifične mere koje preduzima organ bezbednosti PS su: — organizuje (po potrebi) i realizuje stručnu bezbednosnu pripremu, u vezi sa zaštitom tajnosti podataka — blagovremeno upoznaje menadžment, o problemima u sprovođenju opštih i, u potrebnom obimu, sa posebnim merama a radi preduzimanja mera linijom upravljanja i — organ bezbednosti na svim nivoima organizuje i realizuje mere zaštite poslovnih tajni shodno postojećim zakonskim i drugim propisima. Svi poslovni sistemi sve više zaključuju da je bezbednost informacionih sistema jedan od najvažnijih prioriteta za vođenje biznisa. Taj zahtev se delegira kao najvažniji ka specijalistima u IS. Pitanje zaštite podataka u IS postaje sve važnije, što se odražava i na rashode poslovnog sistema. Prema [Int03], ne radi se samo na obučavanju specijalista u IS, u domenu bezbednosti IS, nego se povećavaju i investicije za te potrebe. Prilikom istraživanja u oko 430 američkih firmi zaključeno je da su se osnovne funkcije specijalista u IS, u vezi sa bezbednošću IS, svodile samo na administraciju računarske mreže. Međutim, sazrelo je saznanje o obimnosti tog zadataka i neophodnosti angažovanja specijalista u okvirima, koji mogu da reše ove probleme, i to kao eksperti bezbednosti, u IS kojih može biti i veći broj. Prema istom materijalu, za bezbednost IS treba da odgovaraju top menadžeri. Bez obzira na to što je zaštita informacija u poslovnom sistemu prioritetan zadatak, samo neki mogu da svedoče o angažovanosti top menadžmenta na ovim poslovima. Dužnost rukovodilaca za bezbednost (Chief Security Officer – CSO) postoji u malom broju proveravanih kompanija. CSO odgovara za informacionu fizičku bezbednost i zaštitu ''posebnih'' interesa. CISO (Chief Information Security Officer), rukovodilac za informacionu bezbednost, odgovara isključivo za pitanja zaštite informacija. U pojedinim firmama postoje obe dužnosti i CSO I CISO. U nedostatku određenog organa, nadležnosti se detašuju, obavezuje se postojeći organ. Za realizaciju posebnih mera zaštite formiraju se namenski, privremeni timovi u skladu sa određenim okolnostima, na primer za slučaj (katastrofalnog)43 pada računarskog sistema: — u cilju oporavka – vraćanja sistema u radno stanje, treba da budu formirani timovi, sa podelom poslova, za (brzi) oporavak sistema

43 Katastrofalan pad sistema; funkcije računarskog sistema su erodirane u takvoj meri da se ne mogu obavljati krucijalni poslovi PS. Koliko je pad katastrofalan, varira od sistema do sistema.

82

— za pojedine, konkretne probleme i intervencije na sistemu mora postojati i spisak ovlašćenih (spoljnih) saradnika — mora postojati lista (spisak) ključnih ličnosti, koji se najpre, po prioritetu, obaveštavaju, KPL lista (Key Personnel List) — svi zaposleni moraju biti upoznati sa svojim ovlašćenjima i dužnostima u slučaju katastrofa — za procenu štete imenuje se DAT tim (Disaster Assesiment Team) — za realizaciju plana obnove imenuje se DDT tim (Disaster Development Team). To je jedna (ili više) grupa lica iz IS koji realizuju obnovu. Za slučaj (katastrofalnog) pada računarskog sistema, u cilju nastavka posla, mora postojati backup računarski sistem. Angažovanje backup sistema reguliše se ugovorom. Rad na tom sistemu mora se (planski) proveravati. Za backup sistem mora postojati plan mera zaštite primeren osnovnom sistemu. U okviru poslova koji se realizuju u IS, treba voditi računa o sledećem: — treba planirati smene tako da u IS nikad ne radi samo jedno lice, (dva operatera u "mašinskoj" sali) — potrebno je obezbediti zamenljivost na poslovima. Nije retka neprilika, kada zbog odsustva nekog saradnika iz bilo kog planskog ili neplanskog razloga, neki posao neće biti realizovan u roku ili dovoljno kvalitetno — potrebno je imati kontrolu kvaliteta obavljanja poslova u svim fazama — mora biti jasno definisan rezultat svake faze rada — za svaku fazu rada (zaokruženu celinu) treba da budu definisani neophodni resursi — zaposleno osoblje treba da vodi dnevnike svojih aktivnosti. Dnevnici treba da obuhvate (kada to odgovara): a) vreme početka i završetka rada na sistemu b) sistemske greške i preduzete mere za njihovo ispravljanje c) potvrdu ispravnog rada sa datotekama podataka i izlazom iz računara i d) ime osobe koja je sastavila zapisnik. Operaterske dnevnike treba redovno i nezavisno proveravati i upoređivati sa radnim procedurama. O neispravnostima treba izveštavati i treba sprovoditi mere za njihovo ispravljanje. Greške u smislu problema sa obradom informacija ili komunikacija koje prijave korisnici, treba zapisivati u dnevnik. Treba da postoje jasna pravila o postupanju sa prijavljenim greškama uključujući: a) preispitivanje zapisa kako bi se osiguralo da su greške zadovoljavajuće razrešene i b) preispitivanje korektivnih mera (za ispravljanje) kako bi se osiguralo da kontrole nisu bile narušene, kao i da je sprovedena aktivnost u potpunosti odobrena. U IS treba da se identifikuju kritične konfiguracije. Ovde se misli, pre svega, na hardver i infrastrukturu. To mogu biti delovi računarskog sistema kritični zbog cene, problematičnog održavanja, jednostavno zbog esencijalnog značaja po računarski sistem. I delovi infrastrukture: energetski blok, klima uređaj, naročito zbog nepostojanja redundanse predstavljaju kritične delove IS.

83

5.4. Sfera fizičke zaštite U kontekstu [ISO00] ''politike praznog stola i praznog ekrana'' podsetimo se vremena iz doba Napolena I Bonaparte (Ajačijo, Korzika 1769 – Sveta Jelena, 1821). U Kampijenu (Compiegne), 80 km severoistočno od Pariza, u carskom dvorcu za odmor i lov, u carevoj radnoj sobi postoji sto sa dve ploče – radna fiksna i zaštitna pokretna. Zaštitna ploča se navlačila iznad radne ploče da ne bi nepozvani videli carske spise. Skoro dva veka kasnije u radovima Markusa Kuna, maja 2000. godine, [Kuh00] upozorava se da postoji mogućnost da se ''skida'' slika sa ekrana koji je okrenut prozoru i vidljiv od nepozvanih (slika 5.4.1).

Napajanje

Foto pojačalo Difuzija signala (informacija) koje se detektuju

Računar za ''prihvat'' i procesiranje signala Slika 5.4.1. Preticanje signala sa ekrana pomoću optičkog pojačala Na osnovu prethodnih sfera definišu se i mere – sfera fizičke zaštite. Ova sfera podrazumeva mere koje se realizuju već od početka rada na građevinskom projektu IS. Građevinski projekat mora da vodi računa o lokaciji IS, na primer u odnosu na: sprat, stranu sveta u objektu gde je lociran IS, položaju IS u odnosu na dalekovode, gasovode, emisiju štetnih gasova iz fabrika, sve vrste instalacija u zgradi: vodovodne, električne i gasovodne. Lokacija IS determiniše zaštitu rešetkama, bravama, prijavnom – čuvarskom službom itd. Izbor i projekat objekta gde je smešten IS treba da predvidi mogućnost oštećenja usled požara, poplave, eksplozije, socijalnih nemira i drugih oblika prirodnih nesreća ili ljudskog 84

faktora. Takođe, treba uzeti u obzir odgovarajuće zdravstvene i bezbednosne propise i standarde. Pažnju treba pokloniti takođe svakoj pretnji u pogledu sigurnosti koja potiče iz susednih prostorija, npr. curenje vode iz drugih delova zgrade. Sfera fizičkih mera podrazumeva i upotrebu tehničkih sredstava (slika 5.4.2) od šifro brava na ulasku u prostoriju,44 raznih oblika zaključavanja IS (računara, terminala), proveru identifikacije korisnika po principu: ono što jesu, ono što znaju, ono što imaju i kako se ponašaju.

Slika 5.4.2. Kombinacija šifro brave i svetlosne barijere Fizička zaštita u sistemu bezbednosti IS treba da obezbedi sve mere, od kontrole ulaska u zgradu, ulaska u pojedine prostorije do onemogućavanja odliva poverljivih informacija van IS. Stepen zaštite treba da raste kako se približavamo ''centru'' sistema. Treba da budu razdvojene zone sa prioritetom i stepenom osetljivosti u odnosu na slobodu kretanja. Sva lica treba da poseduju ID kartice za kretanje kroz prostorije zgrade. Svi sadržaji koji se unose ili iznose treba da budu kontrolisani. Mora se onemogućiti uvid spolja u IS, kako kroz prozore, npr. u prizemlju, tako i kretanjem osoba kroz prostorije kroz koje ne bi smele da se kreću i pruženom mogućnošću da ''vide'' šta se tu radi i ko tu radi. Sistem treba da ima posebne mogućnosti kontrole na ulasku u prostorije IS. U definiciji bezbednosti kaže se, ''stanje u kom su nedopuštene protivpravne mere osobito uz primenu fizičke sile…''. Fizičke mere, pored ostalih, imaju za cilj da onemoguće, spreči i/ili ograniče degradaciju IS, bilo da je ona (degradacija) rezultat namere ili slučajnog događaja. Strožom klasifikacijom ovih mera teško bi ih se moglo odvojiti, pre svega, od organizacionih, te se opet ponavlja činjenica o nedisjunktnosti zaštitnih sfera. Izvesna tajnost, zatvorenost, značaj sistema definisana je vrstom tajne (privatna, poslovna, službena, vojna, državna), sa odgovarajućim stepenima tajnosti (interno, poverljivo i strogo poverljivo) već stvara pretpostavke o postojanju prve ''fizičke'' barijere (podsfere),

44

Foto, ITS, Beograd.

85

koja je determinisana i u delu normativne sfere. Sledstveno kategorizaciji, statusu,45 objekta (IS) u odnosu na vrstu i stepen tajnosti uspostavlja se i sistem fizičke zaštite. Druga podsfera fizičke zaštite (barijera) je lokacija objekta (IS). IS može da bude smešten u nadzemnom ili podzemnom objektu, sa ili bez ograda (slika 5.4.3).46

b)

a)

Slika 5.4.3. Razne vrste ograda kao podsfera fizičke zaštite Na slici a, pored ''klasične'' žičane ograde, u sistem se ugrađuju senzori (detektori), IC, radarski ili ultrazvučni detektori. Na slici b prikazan je ukopani kabl – detektor metala. Pre ili pored ograda (slika 5.4.4) svakako u osetljivim zonama, sistem osvetljenja perimetra delom prevenira provalu u objekat.

Slika 5.4.4. Osvetljenje perimetra kao deo fizičke zaštite

45 U ovom smislu može se govoriti i o specijalnim institucijama. To su poslovni sistemi od nacionalnog i državnog značaja: nacionalna banka, delovi elektroprivrede (električne centrale, dalekovodi), delovi vodoprivrede (velike hidroakumulacije, akumulacije pitke vode i vodovodi), sredstva javnog informisanja, (naročito radio i TV sistemi), neki delovi sistema odbrane i bezbednosti, važna lica (VIP) za državu i naciju. U svakom slučaju, sistemi koji mogu biti potencijalni ciljevi zbog postizanja političke, materijalne ili finansijske štete (dobiti) koja bi ugrozila funkcionisanje države. ''Politika'' od 20.02.2004. godine, najbezbedniji objekti na svetu su (prema studiji objavljenoj u britanskom naučnom časopisu ''Fokus''): parking Bold Lejd u Derbiju u centralnoj Engleskoj, trezor u banci u Fort Noksu i avion američkog predsenika Air Force One. 46 Slike preuzete iz prezentacije preduzeća ITS Beograd.

86

U ovaj deo spoljne podsfere fizičke zaštite spada i stražarska (čuvarska) služba sa svim svojim modalitetima. Prema [ISO00], treba jasno definisati bezbednosni krug. Krug zgrade ili mesta u kom je smešten IS treba da je fizički jedinstven (tj. ne bi trebalo da ima prekide kroz koje bi se lako mogao ostvariti upad). Spoljni zidovi oko mesta treba da su od čvrste konstrukcije a sva spoljna vrata treba da budu odgovarajuće zaštićena protiv neovlašćenog pristupa, npr. kontrolnim mehanizmima, šipkama, alarmima, bravama itd. Zgrade treba da budu neupadljive i da što je moguće manje ukazuju na svoju namenu, bez vidljivih oznaka izvan ili unutar zgrade, koje bi ukazivale na prisutnost IS. Vrata i prozori treba da budu zaključani kada su bez nadzora a kada je reč o prozorima, treba predvideti spoljnu zaštitu, rešetke, posebno u prizemlju. Jedan od načina zaštite, u odnosu na problem sa Slike 5.4.1, jeste postavljanje zaštitnih folija na prozorska stakla (slika 5.4.5).

prozirna zatamnjena refleksna neprobojna

Slika 5.4.5. Folije za prozorska stakla Spoljna vrata i dostupni prozori štite se protivprovalnim sitemima koji se moraju planski proveravati. Alarmni uređaji (slika 5.4.6) treba da budu aktivni i u prostorijama koje se privremeno ne koriste.

87

PIRMW senzor Seizmički senzor

PIR senzor

Alarmna centrala Optička barijera

Slika 5.4.6. Senzori u funkciji protivprovalne zaštite Fizičke prepreke [ISO00] u IS, ako je potrebno, treba da se protežu od stvarnog poda do stvarnog plafona kako bi se sprečio neovlašćen pristup, kao i zagađenja iz okoline kao što su ona prouzrokovana požarom ili poplavom. Organizacijom prijavne službe treba da se onemogući pristup u objekat onima koji za to nemaju pravo. To se rešava proverom identiteta lica koja ulaze u objekat47 od strane prijavne službe ili korišćenjem tehničkih sredstava. Za proveru identiteta koriste se ''propusnice'', sa fotografijom ili bez nje.48 Propusnica može da bude sa kodom ili šifrom koji se koriste za identifikaciju vlasnika. Propusnice nisu pouzdane zbog mogućnosti oštećenja, gubljenja ili falsifikovanja. Provera identiteta može da se obavlja i na osnovu antropomorfoloških karakteristika: otiska prsta (prstiju), dlana, skena zenice oka, lica (an face) i sl. Kako se često prostorije IS nalaze u objektu sa drugim organizacionim delovima poslovnog sistema, pristup IS mora posebno da se štiti. Opet, ili samo, prijavnom službom i/ili proverom identiteta na već opisani način.

47

Objekat u kojem je smešten IS. Poznat je slučaj prevare prijavne službe sa ulaznicom za fudbalsku utakmicu. Ovaj primer upućuje na značaj i osposobljenost prijavne službe.

48

88

Od svih lica u IS treba zahtevati da nose neki oblik vidljive identifikacije, bilo da je reč o zaposlenim u IS ili ne.49 Zaposleni treba da postavljaju pitanja svakom nepoznatom koji je bez pratnje, kao i svakom drugom koji ne nosi vidljivu identifikaciju. U okviru IS postoje zone – područja pod posebnim režimom, a to su [ISO00] tzv. zaštićena područja. Zaključana kancelarija, ili nekoliko prostorija unutar fizičkog bezbednosnog kruga, koje se mogu zaključati50 čine zaštićeno područje IS. Ono može da sadrži ormane sa ključem ili kase (sefove). Zaštićene prostorije, koje se ne koriste, treba da budu zaključane i da se periodično proveravaju. U zaštićenim područjima treba uvesti dodatne kontrole i uputstva. U zaštićenim područjima kontroliše se osoblje trećih strana, kao i njihove aktivnosti koje se tu događaju. Posetioce zaštićenih područja treba nadgledati i pretražiti (pretresati), a datum i vreme njihovog dolaska i odlaska treba zapisati. Njima pristup treba odobriti samo za specifične, opravdane svrhe i treba im dati uputstva o zahtevima u vezi sa zaštitom područja i o procedurama za vanredne situacije. Osoblju treće strane za uslužnu podršku (npr. serviserima) treba dati ograničeni pristup, uz nadzor, zaštićenim područjima ili osetljivoj opremi za obradu informacija samo kada je to neophodno. Zaposleni u IS treba da budu upoznati sa postojanjem ili aktivnostima u zaštićenom području, samo na osnovu onoga što je neophodno da znaju. U zaštićenim područjima treba izbegavati rad bez nadzora, ili u timu, iz razloga lične bezbednosti a i da se smanji verovatnoća za zlonameran rad. 5.4.1. Zaštita računarskog sistema ''Geografski'' zone fizičke zaštite IS mogu da se podele na: 1. Zona zaštite informacionog sistema. To je opšta zona koja obuhvata sve učesnike u informacionom sistemu: korisnike i operativno osoblje. Korisnici su ona lica koja, samo, koriste usluge IS a ne bave se razvojem i održavanjem IS, koji na primer ne kreira i ne održava neku određenu bazu podataka. Mada je, u poslednje vreme, teško izdvojiti ''čistog'' korisnika IS 2. Zona zaštite računarskog (računskog) centra. Računarski centar predstavlja deo IS u kom se automatizovano obrađuju, skladište i prikazuju podaci i/ili informacije. Računarski centar čine računarski sistem sa svom potrebnom infrastrukturom i ljudstvo koje se neposredno angažuje na računarskom sistemu. Ljudstvo čine menadžment računarskog centra, administratori (baza, mreže), programeri, oeprateri i razno pomoćno, tehničko osoblje. Računarski centar čini i računarski sistem 3. Zona zaštite računarskog sistema. Samo ''mašinski'' deo računarskog centra koji obuhvata računar, ili više računara, ako se radi sa familijama servera sa periferalima. Periferali su: mrežna oprema na ulazu/izlazu računara (ako je mainframe računar), konzolni uređaji, jedinice sekundarnih memorija (magntenih traka, diskova), razne vrste štampača, crtača i

49 Iskustvo autora sa boravka u Generalštabu NATO-u 1996. goine. Svi posetioci imaju bedževe koje su dužni da nose prilikom boravka u službenim prostorijama. Na početku (kraju) svakog hodnika postoji kontrolna služba koja na osnovu izgleda i sadržaja bedža (ne)ograničava dalje kretanje. 50 Svi ključevi moraju biti u duplikatu i pod kontrolom. Planski treba menjati brave zbog neovlašćenog kopiranja ključeva.

89

4. Zona zaštite infrastrukture. Infrastrukturu čine: računarski sistem, mrežna oprema za uspostavljanje računarske mreže, prostorije računarskog centra, uređaji za rasvetu i komunikacije, klima uređaj(i), elektroenergetski uređaji, namenski uređaji za razdvajanje, sortiranje i uništavanje štampanog materijala i tehnički uređaji za zaštitu. U okviru fizičke zaštite, zbog značaja i specifičnosti, izdvaja se zaštita računarskog centra, pre svega u kontekstu pristupa. Pristup računarskom centru je kontrolisan, preko matrice ovlašćenja, autentikacijom i autorizacijom lica koja u radu koriste usluge računarskog centra, nazivamo ih zajedničkim imenom korisnici. Podrazumeva se da je računarski centar i fizički odvojen od ostalih prostorija poslovnog sistema. Identifikacija i autentikacija (provera autentičnosti) postupci su kojima se postiže kontrola pristupa računarskom centru. Identifikacija. Dodeljivanje jednoznačnog imena (šifre, naziva): ― svakom korisniku i ― svakom objektu (tj. svakom terminalu, programu,51 podatku i sl). Funkcija identifikacije [IBM85] znači da u sistemu postoji mogućnost dodeljivanja jednoznačnih imena, odnosno naziva korisnicima i objektima u IS. Ona podrazumeva postojanje nekog sloga, koji povezuje korisnika ili objekat sa identifikatorom, kao što je ime, naziv ili tabela. Preporučljivo je da identifikator bude mnemonički, tj. jednostavan za pamćenje i nepromenljiv tokom trajanja resursa, odnosno korisničkog odnosa, što podrazumeva da uslovno bude i javan. Ukoliko je reč o manjem broju korisnika, mogu se koristiti imena korisnika ili njihovi inicijali (ako su u pitanju lica). Kod većeg broja korisnika preporučljivo je da se koriste kombinacije cifara, npr. jedinstveni matični brojevi građana (ako su u pitanju lica) u kombinaciji sa nekim drugim nizom cifara ili alfabetika. Provera autentičnosti. Prikupljanje dokaza da je korisnik stvarno taj za koga se izdaje. Takav dokaz se obično sastoji od kombinacije podataka o sledećim osobinama korisnika: — nešto što samo jedno lice zna (npr. lozinka) — nešto što samo jedno lice ima (npr. mehanički ključ, perforirana kartica, bar kod, smart, ili magnetna kartica) — nešto što samo jedno lice jeste (antropomorfološke karakteristike, npr. pomoću otisaka prstiju) — nešto što samo jednoznačno predstavlja ponašanje neke ličnosti (npr. način kako lice piše ili govori). Provera autentičnosti je sposobnost sistema da verifikuje identifikator (ili više njih), koje predočuje korisnik, odnosno utvrđuje da li sistemu pristupa onaj korisnik čiji je identifikator predočen sistemu. Ovaj zahtev se u ličnom kontaktu jednostavno proverava – npr. čuvar će proveriti fotografiju na korisnikovoj legitimaciji ili propusnici, odnosno prepoznaće ga po sećanju. Evidentiranje pristupa u sistem obično se obavlja pomoću potpisa. Međutim, u odnosu čovek–računarski sistem, takva se verifikacija obično sastoji od kombinacije više elemenata, kako je ranije navedeno. 51

Mada, prema [Muf79], i program može biti korisnik (subjekat).

90

Autorizacijom se ograničavaju korisniku i posle pristupa računarskom sistemu, akcije i manipulacije sa podacima i/ili informacijama kojima ima pristup. Svaka akcija nad podacima i/ili informacijama treba da bude registrovana, a naročito promene. U podacima o akcijama nad podacima, treba evidentirati podatke o korisniku koji je realizovao akciju, vreme akcije, vrstu akcije, i ako je u pitanju promena, treba evidentirati sadržaj promene. Pogodno sredstvo za identifikaciju (autentikaciju i autorizaciju) jesu lozinke. Lozinka je [IBM85] (Password), od svega što jedan i samo jedan korisnik može da zna, najčešće korišćeno sredstvo za proveru autentičnosti, i to zato što je najekonomičnije. Ona mora biti: — jednostavna, tako da se može pamtiti a ne mora se zapisivati — dovoljno velika, da se otežaju eventualni zlonamerni pokušaji probijanja šifre nizom uzastopnih pokušaja nasumce — sastavljena od slučajno odabranih simbola, a ne sme biti predstavljena izrazom, koji korisniku nešto znači, jer bi u protivnom postojala znatno veća verovatnoća, da će eventualni zlonamernik u manjem broju pokušaja prodreti u sistem (takvi trivijalni izrazi su npr. lično ime, adresa, datum rođenja, lični broj, registarski broj automobila, telefonski broj i sl) — u najvećoj meri zaštićena od kompromitovanja, tj. dostupnosti licu koje nije korisnik te lozinke i — lako promenljiva. Trivijalni izrazi upotrebljenih lozinki, tj. takvi koji imaju neko značenje bilo opšte, bilo za korisnika, mogu se mnogo lakše i jednostavnije pogoditi nego nizovi simbola, koji nemaju nikakvo značenje, budući da je broj izraza sa značenjem veoma mali u odnosu na broj različitih nizova, koje je moguće rastaviti od istog broja simbola. Radi lakšeg pamćenja, a teškog otkrivanja, lozinka može da bude kombinacija početnih slova reči neke rečenice.52 Lozinku treba menjati što češće, kako bi se smanjila verovatnoća njenog kompromitovanja, a time i verovatnoća štete po sistem. Verovatnoća kompromitovanja lozinke zavisi i od pažnje korisnika lozinke, kao i od učestalosti menjanja lozinke. Nepovoljna strana lozinke jeste ta što eventualno kompromitovanje ne ostavlja nikakvog traga. U slučaju kompromitovanja, sistemu nije poznato niti da li je uopšte kompromitovana a kamoli ko je sada u neovlašćenom posedu lozinke. Da bi se smanjila opasnost od kompromitovanja usled dugotrajnog i ponavljanog korišćenja nepromenjene lozinke, sistemi često ne ostavljaju na ekranu trag ukucavanja lozinke, pa slučajni ili namerni promatrač ne može sa ekrana očitati lozinku. U tu svrhu se preporučuje da svi korisnici upotrebljavaju lozinke sa određenim brojem znakova [IBM85], npr. osam. Na taj način se eventualnom zlonamerniku otežava pokušaj da se ukucavanjem slučajno pogodi.

52

Poštanska štedionica zahteva da se u lozinku, na homebanking-u, pored alfabetika, ubaci bar jedna cifra.

91

''Linijski kradljivac'', takođe može da kompromituje lozinku tako što se nakon prijave ovlašćenog korisnika i log – on-a ubacuje u sistem i neovlašćeno ga koristi. U tom slučaju, postupak provere autentičnosti korisnika sprovodi se tako što mu sistem osim zahteva za lozinkom, postavlja i nekoliko pitanja na koje tačno može odgovoriti samo jedno lice. Pitanje se može odnositi na podatke iz ličnog života korisnika. Ove podatke definiše za sebe korisnik sam, a sistem prilikom svakog zahteva za rad na terminalu može korisniku postavljati neki drugi izbor pitanja, čime se smanjuje opasnost od kompromitovanja putem opažanja sa strane. Ovaj postupak je složeniji, jer iziskuje više vremena prilikom svakog log – on na sistem, ali je i pouzdaniji. Preporučuje se da se lični računari, terminali i štampači, kada su bez nadzora, ne ostavljaju aktivirani i prijavljeni u sistem i treba ih zaštititi kada nisu u upotrebi pomoću bravica sa ključem, lozinki i drugih kontrolnih sredstava. Iskustvo govori da i u tom slučaju ti uređaji nisu bezbedni. Poznati su slučajevi da je zbog kratkog spoja u električnoj mreži dolazilo do oštećenja jedinica za napajanje na računarima.

92

5.5. Zaštita softvera Pored hardvera, softver je neodvojivi deo računara. Softver, uopšteno, obuhvata sve programe koje pre svega proizvođač računara stavlja korisniku na raspolaganje. Softver može da se (ne)namerno uništi, kvari, gubi ili da se neovlašćeno koristi. Poseban problem je korišćenje neproverenog ili nepouzdanog softvera. 5.5.1. Specifičnosti zaštite softvera po vrstama Deleći softver detaljnije na: aplikativni, softver za rad u računarskoj mreži, korisnički (utility) softver, dijagnostički softver i operativni sistem, uočavaju se specifičnosti zaštite softvera po vrstama. Aplikativni softver je softver koji korisnik sam razvija ili ga naručuje samo za svoje potrebe i on služi za rešavanje nekih specifičnih problema korisnika. Klasični primeri [Bas88] su knjigovodstveni programi, uslužni knjigovodstveni servisi, softver za prodaju i rezervaciju karata, softver za inženjerske proračune i simulacije i softver za razne optimizacije. U poslednje vreme, ovaj softver je teško odvojiti od korisničkog softvera. Razvojem softvera koji je okrenut korsniku, tzv. user friendly softver u GUI okruženju (Graphical User Interface), skoro da se brišu granice između ove dve vrste softvera. Ova vrsta softvera kritična je po pitanju zaštite jer on u osnovi predstavlja sopstveni poslovni sistem koji se bolje ili lošije reprezentuje na tržištu zahvaljujući i ovom softveru. Ako je ovaj softver jedan od uslova prednosti poslovnog sistema, tada se primenjuju sve mere zaštite koje su na raspolaganju, a prvenstveno one koje neće dozvoliti konkurenciji da dođe u posed ovog softvera. Uslužni softver obuhvata softver opšte namene. Ova vrsta softvera je sve ređa i pojavljuje se samo na tzv. mainframe računarima. To je softver koji omogućuje na računaru sledeće funkcije: štampanje, brisanje, kopiranje, sortiranje, labeliranje izmenljivih medijuma, razne servisne funkcije kao što su rekonstrukcije, procedure obnavljanja datoteka itd. Ovaj softver je pomoćno sredstvo za održavanje i poboljšavanje performansi (iskorišćenja) računarskog sistema. Uslužni softver je izuzetno moćan. Zbog te činjenice korišćenje tog softvera mora biti pažljivo, a najbolje bi bilo [Bas88] da sa njim rukuju samo lica sa posebnim ovlašćenjima. Softver za rad u računarskoj mreži je u funkciji upravljanja, kontrole (bezbednosti) i korišćenja mreže. Mrežni softver može da bude posrednik štete u IS. Kvarenjem, oštećenjem ovog softvera remeti se rad celog IS, uvodi se u stanje nepouzdanosti i neraspoloživosti. Mrežni softver može da bude zloupotrebljen na više načina i sa različitim ciljem. Jedan od Win 9x ''alata'' [Mcc01] za zločinjenje preko mreže, tzv. ''mala vrata'' (Back Orifice), na primer, može da se iskoristi za skoro potpunu kontrolu Win 9x sistema, uključujući i sposobnost da se dodaju i brišu Registry ključevi, ponovo podigne sistem, šalju i primaju fajlovi, gledaju keširane lozinke, pokreću procesi i dele fajlovi. Šteta koju izaziva Back Orifice je posledica nedostataka klijentovog softvera ili njegovo nepravilno konfigurisanje.

93

Na primeru ovog ''alata'' savetuje se da on bude ažuriran i oprezno konfigurisan, ako je u pitanju Internet softver. Uopšte uzev, svaki mrežni softver treba da bude originalan i redovno ažuriran. Dodatne mere zaštite su i onemogućavanje neovlašćenog pristupa ovom softveru, kao i protivvirusna zaštita Dijagnostički softver. Mada je čovek [Bas88] osnovni nosilac aktivnosti otklanjanja grešaka u softveru, danas mu na raspolaganju stoji čitav niz dijagnostičkih i pomoćnih sredstava. To se naziva debugging i može se definisati kao niz postupaka kojima se vrši detektuju, izoluju i otklanjaju greške. Ako je informacioni sistem dobro organizovan, elementi debugging-a se mogu naći u svim fazama razvoja sistema, počev od sistem analize i testiranja programa do operativnog rada. Prilikom dijagnostikovanja i otklanjanja grešaka u softveru, moguće je da se neispravni računar povezuje komunikacionim linjama sa servisnim centrom koji sa svojom opremom (računarom) dijagnostikuje kvar i daje uputstva za popravku. Pri takvom načinu rada, kompletan računar se daje na raspolaganje dijagnostičkom centru koji ga može zloupotrebiti. Da ne bi došlo do zloupotrebe računara koji se servisira, treba ''očistiti'' od podataka i vršiti nadzor nad radom servisnog centra. Očigledan je značaj ovog softvera za pouzdan rad IS. Treba preduzeti sve moguće mere koje se koriste za zaštitu softvera u njegovoj zaštiti. Operativni sistem je [Bas88] jedan od najvažnijih komponenti softvera na računaru. Moglo bi se slobodno reći da je on ključ ukupnih performansi računara. Zbog toga operativnom sistemu treba posvetiti izuzetnu pažnju. Zaštitne mere operativnog sistema sastoje se od preventivnih mera i mera za otkrivanje napada na računar. U preventive mere spadaju: kontrola pristupa, izolacija i identifikacija, a otkrivanje grešaka postiže se nadzorom sistema. Sve ovo operativni sistem čini da bi ostvario svoju osnovnu funkciju: integritet podataka i sistema. 5.5.2. Zaštita softvera od kvarenja, uništenja i gubljenja Softver se (ne)namerno može oštetiti, uništiti ili izgubiti. Oštećen softver izaziva nepouzdanost u radu IS. Zbog uništenja ili nestanka softvera IS može da stane sa radom što može da ima velike posledice za poslovni sistem. 5.5.2.1. Zaštita softvera skladištenjem Najbolja i najvažnija zaštita od (ne)namernog uništavanja, kvarenja ili gubljenja (krađe), softvera jeste pravljenje kopija softvera, njegovo smeštanje (najbolje) u vatrostalne sefove, po mogućstvu u drugu zgradu (objekat) van računarskog centra. Podrazumeva se da postoji propis koji reguliše pravljenje kopija softvera. Prostorije sa kopijama softvera moraju biti sa kontrolisanim pristupom i odgovarajućom mikroklimom. Propisom se reguliše i provera kopija softvera (dinamika i način), da bi se obezbedio kontinuitet poslovanja, njihovo obnavljanje i uništavanje. Prilikom čuvanja softvera, treba uzeti u obzir mogućnosti propadanja medijuma koji se koriste za njegovo čuvanje. Treba uvesti procedure za čuvanje i postupanje koje su u skladu sa preporukama proizvođača. Gde se za čuvanje odaberu elektronski medijumi, treba uključiti procedure za osiguranje sposobnosti pristupanja softveru (čitljivost

94

medijuma i formata) u celom periodu čuvanja, kako bi se zaštitilo od njihovog gubljenja usled budućih promena tehnologija. Rezervne kopije značajnih poslovnih informacija i softvera treba praviti redovno. Treba takođe obezbediti odgovarajuću opremu za rezervne kopije kako bi se osiguralo da se sve značajne poslovne informacije i softver mogu obnoviti posle nesreće ili otkazivanja medijuma. Biblioteke softvera, aplikativnog (korisničkog), posebno operativnog sitema, moraju imati tretman kao bilo koja baza podataka (datoteka) u pogledu pristupa na računaru. Matricom ovlašćenja definišu se nivoi pristupa softveru. U skladu sa pravilima no-read-up i nowrite-down, onemogućava se čitanje programskih biblioteka iznad nadležnosti i pisanje (promena) programa na nižim nivoima nadležnosti. Prema [ISO00], da bi se smanjila mogućnost oštećenja računarskih programa, strogu kontrolu treba održavati nad pristupom bibliotekama sa izvornim programima. Što sistem više zavisi od ispravnog rada i blagovremene finalizacije softverskog proizvoda, tim pre treba uvesti kontrole upravljanja putem ispitivanja, pregleda, provere, verifikacije, validacije, itd. Nasuprot tome, prekomerna kontrola upravljanja nekritičnog ili malog softverskog proizvoda može biti neisplativa. 5.5.2.2. Održavanje softvera Razvoj softverskog proizvoda može imati tehničkih rizika. Ako primenjena softverska tehnologija nije sazrela, softverski proizvod koji se razvija je jedinstven ili složen, ili softverski proizvod sadrži zahteve u pogledu pouzdanosti ili druge kritične zahteve, može se zahtevati stroga specifikacija, projektovanje, ispitivanje i vrednovanje. Nezavisna verifikacija i validacija može biti značajna. Kod održavanja softvera, da se ne bi unosile greške, i da bi se smanjio unos grešaka, pri održavanju softvera treba voditi računa o sledećem: — programer unosi izmene u programima isključivo uz saglasnost nadležnog lica — različita lica kodiraju i testiraju programe — različita lica kodiraju transakcije i održavaju datoteku (bazu podataka) — upoređuju se stare i nove verzije programa i — potrebno je identifikovati kritične aplikacije za koje se moraju obezbediti alternativna rešenja. Neophodne su sledeće radnje [ISO00]: identifikacija i zapisivanje svih zahteva za izmenom; analiza i vrednovanje izmena; prihvatanje ili odbacivanje zahteva, kao i implementacija, provera i izdavanje modifikovanog elementa softvera. O proveri svake modifikacije mora da postoji trag u kojem se navodi ta modifikacija, razlog za modifikaciju i odobrenje modifikacije. Treba da se kontrolišu i pregledaju svi pristupi elementima softvera koji se kontrolišu a koji rade sa kritičnim funkcijama bezbednosti i sigurnosti. Projektant održavanja treba da analizira izveštaj o problemu ili zahtev za modifikacijom u pogledu njegovog uticaja na organizaciju, postojeći sistem, i sisteme sa kojima se sučeljava u pogledu sledećeg: — tip: na primer, korektivan, poboljšan, preventivan ili prilagođen novom okruženju 95

— obim: na primer, veličina modifikacije, troškovi, potrebno vreme i — kritičnost: na primer, uticaj na performanse, bezbednost ili sigurnost. Neki računarski sistemi [IBM85] imaju u sebi već ugrađen čitav niz funkcija, koje služe kao zaštitne mere u smislu otkrivanja, evidentiranja, dijagnoze i automatskog ispravljanja greške, koja bi nastupila u radu hardvera, softvera ili prenosa podataka. Te funkcije su sledeće: — postupci sa redundantnim bitovima (slika 5.5.1); od jedan do osam bitova služe za brisanje i korekciju grešaka — praćenje intermitentnih grešaka javljaju se u radu hardvera slučajno, teško se opažaju i održavaju. Neki sistemi ipak imaju ugrađene rutine za evidenciju ovakvih grešaka — zaštita memorije određeni delovi glavne (primarne) memorije zaštićeni su protiv upisivanja, tako da se iz njih može samo čitati (Read Only memorije) — zaštita datoteka neki sistemi u sistemskom softveru imaju razrađene i ugrađene postupke za evidenciju i proveru podataka i — izolacija programa povećanju pouzdanosti rada doprinosi razdvajanje programa, koji su istovremeno aktivni, ovlašćenje se deli za dostupnost pojedinim sistemskim resursima između aktivnih programa tako da se onemogućuje dostupnost jednom programu, npr. u podatke koje u tom trenutku eksploatiše drugi program. Otkrivanje grešaka i provera paritetnih bitova realizuje se na sledeći način. Na primer, slovo B u sedmobitnom ASCII kodu biće 0010100, kao kontrolna cifra, na parnost će se na kraj dodati 0, pa će niz biti 00101000. Za slovo T sedmobitni kod je 0100101, sa kontrolnim redundantnim bitom ovaj niz će biti 01001011. Generisanje 8. bita niz od 7 bitova Predajnik

različito

=

Prijemnik niz od 8 bitova

Slika 5.5.1. Logički sklop za otkrivanje grešaka proverom pariteta

i s t o

greška i s p r a v n o

Održavanje celovitosti sistema [ISO00] treba da bude obaveza funkcionalne ili razvojne grupe kod korisnika kojem aplikativni sistem ili softver pripada. Kontrolu treba obezbediti prilikom ugradnje softvera u operativni sistem.

96

Softver za operativni sistem koji je kupljen od nekog isporučioca treba održavati na nivou koji podržava taj isporučilac. Svaka odluka da se on unapredi novim izdanjem treba da razmotri pouzdanost tog izdanja, tj. uvođenje novih funkcija sigurnosti ili broj i ozbiljnost problema bezbednosti kojima podleže ta verzija. Za uklanjanje ili smanjivanje slabosti u zaštiti, treba primeniti popravke softvera, ako to pomaže. Fizički ili logički pristup isporučiocima treba davati samo kada je neophodno radi podrške i uz odobrenje rukovodstva. Aktivnosti isporučioca treba nadgledati. Podatke o ispitivanju treba zaštititi i držati pod kontrolom. Kod prijemnog ispitivanja najčešće su potrebne znatne količine ispitnih podataka koji su što je moguće bliži stvarnim radnim podacima. Treba izbegavati da radne baze podataka sadrže lične podatke. Ako se takve informacije koriste, njih treba pre korišćenja depersonalizovati. 5.5.3. Zaštita softvera od neovlašćenog korišćenja Razmenjivanje informacija i softvera [ISO00] među organizacijama, organizacijama i pojedincima, treba da bude pod kontrolom, i treba da bude u skladu sa odgovarajućim pravom. Postoji više vrsta prava koja tretiraju korišćenje softvera, a posebno njegovo neovlašćeno korišćenje. Softver, kao intelektualna svojina, roba, ima uporište u privrednom, građanskom, međunarodnom privrednom, pravu spoljne trgovine, obligacionom pravu, posebno pravu industrijske i intelektualne svojine, patentnom, autorskom, krivičnom, informatičkom [Kuk02] i kompjuterskom53 pravu. Sva ova prava, pa i u odnosu na softver kao predmet prava, evolutivnog su karaktera a posebno zakoni54 (ili podzakonska akta) koji se razlikuju i od države do države, odnosno subjekta koji ga donosi. Savete [ISO00] o specifičnim zakonskim zahtevima treba potražiti od pravnih savetnika u organizaciji, ili odgovarajuće kvalifikovanih pravnih lica. Lako je dokazati potrebu zaštite softvera. Aplikativni softver, na primer, ponekad predstavlja pravo remek-delo pronalazaštva. U svakom slučaju, on uvek predstavlja značajnu investiciju. Kad je to tako, zašto bi onda samo hardver bio zaštićen. U ime kog principa softverom mogu da raspolažu svi, bez ikakve naknade autoru? Na ovo pitanje nema drugog odgovora osim onog koji se sastoji u tome da je svako ograničavanje slobode u ovom području neprihvatljivo. Osim toga, važno je poštovati intelektualno vlasništvo, počevši od patentnih prava, koji predstavljaju pokretačku snagu stvaralaštva. Može se, pesimistički, zaključiti da je bitka između stvaraoca (proizvođača) softvera i neovlašćenih korisnika unapred izgubljena. Cilj je da se ipak smanji šteta. 5.5.3.1. Patentno pravo Najefikasnija zaštita je privatna zaštita. To znači monopol kretatora nad njegovim delom (softverom). Ovo se prvenstveno odnosi na patentno pravo. To pravo [Bas88] sprečava pravljenje, korišćenje, prodaju ili kreaciju sličnih proizvoda. Patent treba da obezbedi vlasniku ekskluzivnu kontrolu njegovog proizvoda određen broj godina. S druge strane, patent može da se ospori ukoliko se utvrdi da on nije jasan ili se osporava njegova originalnost. Patentna zaštita može da se poništi ukoliko se utvrdi da postoji monopol. 53 Predmet komjuterskog prava, kao skup pravnih normi je i: ''zaštita samih računarskih programa, softvera, korisničkog interfejsa, proizvoda reverzibilnog programiranja, kompjuterski generisanih dela...'' 54 Zakon [Pra70], pravno pravilo uopšte, pisani pravni akt sa najvišom pravnom snagom koji izdaju posebni zakonodavni organi po posebnom postupku. Zakon u odnosu na pravo ima karakteristiku obaveze, sprovodivosti, koja je garantovana i prisilom koju obezbeđuje zakonodavac.

97

Patentna zaštita se teško dobijala za softver. U evoluciji patentnog prava, u odnosu na softver, ima šarolikosti u pristupu. Dugo vremena, po ovom pitanju, zakonodavci nisu uopšte intervenisali. Zavodi za patente su najčešće odbijali patente koji se odnose na softver. Minhenska konvencija od 5. oktobra 1973. godine o ustupanju i pravu korišćenja evropskih patenata izjasnila se u tom duhu. U SAD, ovom problemu se prišlo sa respektom i Court of customs and Patent Appeals (CCPA), specijalizovana sudska institucija u području patenata, donela je odluke iz ovog područja. Zbog toga prva registracija softvera kao patenta dogodila se u SAD još 1968. godine. Ipak, postupak prihvatanja patenta za softver je dosta mukotrpan zbog toga šte teško utvrđuje šta se kod softvera može patentirati. Zbog toga su se praktičari [Luc82] okrenuli ka autorskom pravu (copyright). Ideja nije bila apsurdna. Sigurno je da softver, po prirodi stvari, mora poprimiti oblik (autorskog) dela, i to u principu mora biti dovoljno da bi se obezbedila zaštita autorskog prava. 5.5.3.2 Pravo na kopiranje softvera Treba uvesti odgovarajuće procedure kako bi se osigurala usklađenost sa zakonskim ograničenjima u pogledu korišćenja materijala koji može biti predmet prava na intelektualnu svojinu, kao što su pravo na kopiranje, projektantska prava, oznake proizvođača. Narušavanje prava na kopiranje može dovesti do zakonske akcije koja može obuhvatiti i krivično gonjenje. Softverski proizvodi u vlasništvu najčešće se isporučuju prema ugovoru o licenci kojim se korišćenje takvih proizvoda ograničava na posebne mašine a može ograničavati kopiranje samo na stvaranje rezervnih kopija. Treba predvideti kontrole prema [ISO00]. Informacione sisteme karakteriše posebna vrsta prava, tzv. copyright.55 Naime, informacije, znanje, ideje, konačno, softver, podležu copyright-u. Copyright, kao potvrda o pribavljenom pravu na štampanje knjige, kroz istoriju nastao je tako što je autor, kao tvorac određenog književnog ili drugog dela (rezbarije npr), koje je moguće preštampavati, svoje autorsko pravo, uz naknadu prodavao štamparima, koji su imali sredstava da to delo dalje plasiraju. Reč copyright u doslovnom prevodu sa engleskog jezika znači autorsko pravo, određenije pravo na umnožavanje, kopiranje tj. pravo na kopiju ili primerak. Međutim, prva upotreba ove reči u anglosaksonskom pravu, gde je institut i nastao, ostala je terminološki nejasna. Od početka 18. veka, pa nekih 150 godina nadalje, copyright je značio pravo na umnožavanje, pored toga što je označavao i pravo na objavljivanje autorskog dela, a zapravo je predstavljao pravo izdavača, a ne autora dela, jer su u Engleskoj copyright stvorili izdavači i štampari da bi zaštitili svoju delatnost, tj. svoje pravo na umnožavanje autorskog dela i na zaštitu tog dela prilikom distribucije. Ako je negde i stajalo da autor poseduje copyright, to je u praksi značilo zabranu da neko neovlašćeno umnožava autorsko delo koje određeni izdavač, štampar, umnožava i distribuira. Dakle, kroz istoriju copyright je nastao u vezi sa problemom zaštite autorskog prava tj. zaštite autorskog dela, koje je

55

Prema tekstu Dragice Popesku, sudije okružnog suda u Beogradu.

98

prilikom objavljivanja, štampanja i distribucije, izloženo plagiranju i pirateriji, što je pogotovo danas slučaj, zahvaljujući modernoj tehnologiji.56 Danas se copyright tumači kao pravo reprodukovanja tj. umnožavanja nekog dela i kao pravo na činjenje izvesnih akata u odnosu na to autorsko delo bilo da je reč o književnom, dramskom, muzičkom itd, s tim da u anglosaksonskom pravu ono znači isto što i autorsko pravo, ali ne i pravo javnog izvođenja dela (performing right). Pored ovog objašnjenja copyrighta pominje se i “copyright notice” (autorsko pravna zabrana), što znači da se javnost obaveštava da se za to delo traži zaštita u trajanju koje predviđa Zakon, i to do njegovog daljeg objavljivanja, a u korist autora čije je ime označeno na delu, kako to predviđa američko pravo. Postoje dve poznate multilateralne konvencije za zaštitu autorskih prava: Bernska konvencija iz 1886. godine i Univerzalna iz 1952. godine. Bernska konvencija ne predviđa ispunjenje bilo kakvih formalnosti da bi se autorska prava priznala i zaštitila, a autorsko pravo ona štiti za života autora i 50 godina posle njegove smrti, dok Univerzalna konvencija traži ispunjenje nekih formalnosti radi zaštite autorskog prava. Ova konvencija obezbeđuje dopunsku međunarodnu pravnu zaštitu autorskih prava i ne dira ni u bilateralne, ni u multilateralne ugovore o autorskom pravu, koji mogu biti na snazi između nekih država. Formalizam zaštite koju predviđa Univerzalna konvencija je u opadanju, čak i u režimu zaštite ovog prava u SAD, gde je postojao veliki formalizam te zaštite i gde se najduže zadržao, s tim da posle reformi autorskih prava 1976. godine, polako u Americi preovlađuje sistem neformalnosti zaštite. U Univerzalnoj konvenciji se ne pominju lično pravna ovlašćenja autora i tu je copyright predviđen isključivo kao imovinsko pravo. Naša država je Univerzalnu konvenciju o autorskom pravu ratifikovala 12. maja 1966. godine i postala članica svetske unije za zaštitu autorskih prava. Naše zakonodavstvo ne predviđa copyright kao vid autorsko-pravne zaštite u zemlji i stavljanje autorsko-pravne rezerve: (“c” u krugu, ©), ime nosioca autorskog prava i godina prvog izdanja autorskog dela, važi za dela objavljena kod nas, samo u inostranstvu. Kod nas ova oznaka nema značaj jer je prema našem zaknodavstvu autorsko delo ipso facto (samim činom, samo po sebi, samim svojim postojanjem) zaštićeno, ono što ga odvaja od drugih dela je originalnost, tj. kreativnost njegovog autora, izražena u određenoj formi, bez obzira na njegovu umetničku, naučnu i drugu vrednost, njegovu namenu, veličinu, sadržinu i način ispoljavanja, kao i dopuštenost javnog saopštavanja njegove sadržine, shodno članu 2. stav 1. Zakona o autorskom i srodnim pravima (“Sl. list SRJ’’ br. 24/98). Po svojoj suštini, copyright kao autorsko-pravna zabrana predstavlja zaštitu autorskog prava autora ili izdavača u pogledu imovinskih autorskih prava u inostranstvu i povreda ove zabrane nastaje tek momentom neovlašćenog preštampavanja i umnožavanja dela. Dakle, oznaka copyright služi zaštiti imovinskog autorskog prava, kako autora tako i izdavača, kao garancija da se to delo neće neovlašćeno preštampati i prodavati. 56

Sa skenerom i OCR softverom otvorene su mogućnosti da se lako i brzo kopiraju i koriste tuđi tekstovi. Još jednostavnije se kopiraju gotovi tekstovi koji se pronađu na Internetu ili se već nalaze u elektronskom zapisu na nekom (dostupnom) računaru.

99

Kod nas se u praksi postavlja pitanje da li je potrebno dobiti izričitu saglasnost autora nekog dela za stavljanje oznake copyright prilikom zaključenja izdavačkog ugovora sa izdavačem. Stavljanje ove oznake se podrazumeva ukoliko će ovo delo biti prodavano van granica naše zemlje, te u skladu sa Univerzalnom konvencijom i njenim članom III, a budući da smo mi potpisnici ove konvencije od 1966. godine, ovu oznaku copyright izdavač može stavljati, ako postoji izdavački ugovor, odnosno sporazum stranaka da se autorsko delo može publikovati, štampati i distribuirati van granica naše države. Pošto postoji sličnost između pisanja literarnih dela i pisanja softvera, nije neočekivana sličnost u zaštiti softvera koja se može postići primenom zaštite od umnožavanja. Zaštita softvera od umnožavanja primenjuje se u SAD od 1964. godine. Ovaj način zaštite daje pravo autoru ili drugim vlasnicima softvera na ekskluzivnu kontrolu reprodukovanja u bilo kom obliku u periodu od 28 godina. Copyright zaštita je ograničena pošto se ne sprečava nezavisna kreacija, stvaranje izmenjenog softvera na bazi postojeće ideje sa istim ili poboljšanim detaljima. Iako copyright ne pruža dovoljnu zaštitu softvera, on barem štiti pisanu dokumentaciju kao što su programski i operaterski priručnici. Prema [ISO00], tačka 12.1, softverski proizvodi u vlasništvu najčešće se isporučuju prema ugovoru o licenci kojim se korišćenje takvih proizvoda ograničava na posebne mašine a može ograničavati kopiranje samo na stvaranje rezervnih kopija. 5.5.3.3. Zaštita softvera primenom zaštitnog znaka Ova vrsta zaštite [Bas88] koristi se prilikom zaštite softvera koji se izrađuje za tržište. Zaštitnim znakom postiže se tačna identifikacija softvera na tržištu sa određenim kvalitetom u pogledu standardizacije, kompatibilnosti, daljeg razvoja i održavanja kao i prodaje licenci. Zaštitni znak služi za zaštitu nekih trgovačkih prava vlasnika i ne može zaštititi od svih zloupotreba. Često se koristi kod softvera jer nema mnogo mana. 5.5.3.4. Zakonska zaštita softvera Nacrt zakona predstavljen u Predstavničkom domu američkog Kongresa 1997. godine karakteriše kopiranje programa radi zabave ili zarade kao težak prestup. Prema predloženom dokumentu koji se zove Akt protiv elektronske krađe (No Electronic Teft Act), svako ko napravi deset ili više kopija pravno zaštićenih programa vrednih preko 5.000 US $ mogao bi da provede do tri godine u zatvoru. Za ponovljeni prestup kazna bi mogla biti i šest godina. Citiraćemo dva zakona kojima se štiti softver u Srbiji. Dopunom Krivičnog zakona Republike Srbije od 12. aprila 2003. godine, dodata je glava 16A. Članom 186a, predviđeno je: (1) Ko ošteti, prikrije, neovlašćeno izbriše, izmeni ili na drugi način učini neupotrebljivim računarski podatak ili program, kazniće se novčanom kaznom ili zatvorom do tri meseca. (2) Ako je delom iz stava 1. ovog člana prouzrokovana šteta u iznosu preko sto hiljada dinara, učinilac će se kazniti zatvorom od tri meseca do tri godine. (3) Ako je delom iz stava 1. ovog člana prouzrokovana šteta u iznosu preko šesto hiljada dinara, učinilac će se kazniti zatvorom od šest meseci do pet godina. 100

Članom 186b predviđeno je: (1) Ko uništi, izbriše, izmeni, ošteti, prikrije ili na drugi način učini neupotrebljivim računarski podatak ili program, ili uništi ili ošteti računar ili drugi uređaj za elektronsku obradu i prenos podataka, koji je od značaja za državni organ, javnu službu, ustanovu, preduzeće ili drugu organizaciju, kazniće se zatvorom od jedne do osam godina. Na osnovu Zakona o autorskim i srodnim pravima (“Sl. list SRJ” br. 24/98, od 15. maja 1998), član 2, autorskim delom, stav 2, alineja 10), smatraju se ''računarski programi (u izvornom, objektnom i izvršnom kodu). Na osnovu ovog Zakona, za softver se ostvaruje: autorsko pravo, evidencija, zaštita i kaznene mere ukoliko dođe do povrede autorskih prava. 5.5.4. Zaštita od neispravnog i malignog softvera Prema Slici 3.4, softver može biti neispravan zbog grešaka u njegovom razvoju, ali on može biti i zloupotrebljen – namerno oštećen. ''Alat'' kojim se oštećuje softver je: komanda korisnika, skriptovi i programi, autonomni agenti, paketi alata i distribuirani alat. Greške u razvoju softvera mogu da se jave zbog sledećih razloga: nedostaci implementacije, nedostaci dizajna i nedostaci konfiguracije. Korisnike treba uputiti u opasnosti od malignog softvera, a rukovodioci treba da onde gde to odgovara uvedu posebne kontrole za otkrivanje ili sprečavanje njegovog unošenja. Posebno, važno je da se preduzmu mere opreza, otkriju i spreče delovanja autonomnih agenata na ličnim računarima. Treba ugraditi kontrole za otkrivanje i sprečavanje zloćudnog softvera, radi zaštite od njega kao i odgovarajuće postupke upućivanja korisnika. Zaštita od zloćudnog softvera treba da se zasniva na upućenosti u bezbednost, odgovarajućim kontrolama pristupanja sistemu i izmenama na softveru. Treba predvideti kontrole prema [ISO00], tačka 8.3.1. Procedure za izveštavanje o zloćudnim funkcijama softvera57 [ISO00] obavezuju da se evidentira simptom problema, kao i svaka poruka koja se pojavi na ekranu, da bi se izolovao ''zaraženi'' računar. U koracima koji slede potrebno je da se obaveste nadležni organi za ustanovljavanje uzroka štete, nivoa štete i revitalizaciju sistema. 5.5.4.1. Razvoj pouzdanog softvera Prema [Zel82], a posebno [Gla82], u cilju razvoja pouzdanog softvera, zahteva se striktno poštovanje procedure sa konkretnim koracima. Pitanje pouzdanog softvera je važno u svim poslovnim sistemima, poslovima, posebno u kojim eventalna greška (u softveru) može da ima katastrofalne posledice po sistem. To su, na primer, razni proračuni u okviru svemirskih istraživanja, prilikom identifikacije ciljeva u borbenim dejstvima, u bankarskim transakcijama itd. Softver koji se koristi može da bude korektan, izvršava zahtevane akcije. Na primer softver za tablerane proračune može da ''računa'' bez greške. Međutim, njegov rad može da bude nepouzdan, sklon prekidima rada bez objašnjivog, ili teško objašnjivog povoda. Poznata je nepouzdanost operativnog sistema Windows.

57

O ovome će biti reči u glavama koje slede.

101

Kako programer može da proizvede nepouzdan softver, objasnićemo na primeru izrade programa u programskom jeziku COBOL. U COBOL-u postoje tipovi podataka kao što su numerički podaci, oznaka ''numeric (9)'' i cifarski podaci, oznaka ''digit (D)''. Kod numeričkih podataka, tip (9), u podatku mogu da se nađu i znaci ''+'', ''–'', pa i tačka ''.''. Kod cifarskog tipa podataka, u podatku se mogu naći samo cifre od 0 do 9. Nesmotrenošću programera u podatku se mogu naći i znaci nad kojima su nemoguće računske operacije i program staje sa radom, popularno rečeno – program pada. Vrlo čest problem u našoj svakodnevnoj praksi je (ne)prilagodljivost aplikativnog softvera u ambijentu raznih varijanti operativnog sistema Windows. Do padanja programa dolazi, načelno, iz dva razloga: — prividno (kvazi)stohastičko i — (manje-više) determinističko (pod određenim uslovima isto se manifestuje), moguće je izvršiti defektaciju, a zatim to prevazići, tj. otkloniti posledice. Kada je reč o “ilegalnim” znakovima, čest je slučaj unosa nevidljivih znakova u program, koji se mogu dobiti upotrebom i/ili kombinacijom različitih tastera i sl. Kao primer se može navesti Word for Windows (Word) gde je poznavanje takvih znakova neophodno za ispravan (očekivan) rezultat obrade teksta. Konkretno, pojava jednog Break-a na nekoj stranici, koji je inače nevidljiv, može značajno poremetiti strukturu celog teksta (sadržaj) i sl. Isti je slučaj sa tabulatorima, ali naročito sa formatima za štampu, gde je često nemoguće naći razlog zbog čega u Print Preview-u prikazuje korektno (zahtevano), a prilikom štampanja (na hard copy) bude drugačije. Ovde se najpre može govoriti o nedovoljnom poznavanju softvera od strane korisnika, ali i o bagovima. Problem nove platforme (operativnog sistema) i u slučaju kada se garantuje da će softver, drajveri i druge aplikacije razvijani na staroj platformi pouzdano raditi: — jedan od čestih uzroka može biti mrežno okruženje bilo kao mogućnost koju nudi nova platforma ili kao konkretna pojava, koje podrazumeva eksplicitna, a naročito implicitna ograničenja, što je za staru aplikaciju prepreka kojoj nije dorasla (iako se tvrdi da neće predstavljati problem ili se nigde u odgovarajućoj dokumentaciji ne navodi kao mogućnost problema) — slično tome nedovršenost i/ili nedoslednost uključivanja sistemskih funkcija koje su postojale na staroj platformi što podrazumeva lošu (nedovršenu) komunikaciju softvera razvijenog na staroj platformi sa novom. Problem drajvera za štampače koji se koriste u mreži: sve je prividno isto, ista instalacija drajvera, korektna prijava za rad u mreži, ali neće da štampa, ako se proba sa drugog mesta (radne stanice) isto to, onda može da štampa. Uopšte, problem drajvera je pitanje koje se često nalazi u sferi neobjašnjivog zbog nedovoljne kompatibilnosti drajvera sa operativnim sistemom. Verovatno je to iz razloga što firme-proizvođači uređaja koji se pomoću drajvera (ili drugog specijalizovanog softvera: OCR, softver za multimediju i sl) povezuju na operativni sistem koji ne poznaju ili im iz Microsoft-a nisu otkrili sve što treba za pouzdanu komunikaciju (primer onemogućavanja Netscape Navigator-a to dovoljno objašnjava i potvrđuje). Čuveni problem i rešenje kod nekih operativnih sistema i softvera razvijenog pod njim, kada nešto neće da radi ili radi van očekivanja onda treba uraditi sledeće: — izaći i ući ponovo iz/u konkretni program — prestartovati sistem i

102

— u radikalnom slučaju, reinstalirati ili konkretni softver ili čitav operativni sistem. To se neretko može sresti kao rešenje kome mnogi pribegavaju. Na kraju, navika ovakvog pristupa je prouzrokovana usvojenim (predviđenim-propisanim) načinom (re)instalacija softvera pod konkretnim operativnim sistemom, kada se svaki put mora (ponekad i ne samo jednom u toku jedne instalacije) restartovati sistem. Postupak preuzimanja softvera, koji je rađen po narudžbini, u cilju prevencije njegove nepouzdanosti treba sprovoditi u skladu sa ISO/IEC 17799, tačke 5.2.4.5, 5.3.2.1, 5.3.4.1, 6.2.6.1, 6.4.2.3, a posebno u skladu sa Uputstvom za specifikovanje karakteristika kvaliteta koje se može naći u ISO/IEC 9126. Kada sami [Gla82] razvijamo softver, treba se pridržavati strogo definisanih koraka u tzv. ''životnom ciklusu'' razvoja. Ovaj termin nije baš adekvatan za softver jer ''život'' podrazumeva i ''smrt'' što i nije karakteristično za softver jer se softver ne uništava, ne izraubuje, tokom upotrebe, kao druga tehnička sredstva. Mada se može govoriti o ''smrti'' softvera zbog toga što biva (ili postaje vremenom) prevaziđen i/ili van upotrebe. Životni ciklus razvoja softvera58 sastoji se od sledećih koraka: — Zahtev/specifikacija (sistem analiza). U ovoj fazi se izučava i definiše zadatak. Ozbiljan problem u ovoj fazi može de se napravi zbog nepažnje i površnosti u sagledavanju zahteva. Ovo može da bude uzrokom grešaka u daljoj realizaciji projekta. Kao direktna posledica može da bude ili ''smrt'' sistema ili mukotrpna prerada softvera zbog naknadno uočenih grešaka — Projektovanje. U ovoj fazi zadatak iz sistem analize probražava se u princip rešavanja problema – dokument na osnovu kojeg se konkretno rešava zadatak. U ovoj fazi rešavaju se mnoga pitanja, npr. koji računar i koji resursi računara stoje na raspolaganju, koji će se jezik (baza podataka) izabrati, kako organizovati program na module, koji je redosled izvršavanja funkcija... Odgovori na ova pitanja pomešaju se u ''koktelu'' iz specifikacije i na osnovu njega sačini se konkretan plan rada. Oba koraka mogu da se automatizuju uz pomoć CASE alata. Taj alat se uklapa u tendenciju da se projektovanje završi što brže pa se ponekad dobijaju pogrešna rešenja i veliki broj grešaka. Druga krajnost, detaljisanje se pretvara u traćenje vremena i novca. Kompromis je rešenje u kojem će se obezbediti pouzdan softver a neće biti rasipanja vremena i novca — Realizacija projekta. To je prevođenje rešenja iz prve dve faze u formu prilagodljivu računaru. Softver se dovodi u fazu da rešava zadatke za koje je namenjen. Od segmenata softvera složena je funkcionalna celina. Stiče se utisak da se u ovom momentu stvara delo kao što Stradivarijus stvara violinu. Aljkavošću se mogu prenabregnuti prefinjeni problemi u softveru pa se umesto Stradivarijusove violine napravi raštimovani vergl — Verifikacija je produžavajući muzičku analogiju štimanje i provera Stradivarijusove violine. Verifikacija je i na neki način igra skrivalice u kojoj tragač poput Šerloka Holmsa traži ''prestupe'' koji mogu biti izazvani greškama softvera. Igra se sprovodi sa softverom i računarom u kojoj se programer postavlja u ulogu igrača. U ovom poslu nema žurbe. Neophodno je proveriti sve zahteve, sve strukturne elemente, sve logičke kombinacije koliko dozvole zdrava pamet, troškovi i rokovi. Ovaj posao se sprovodi kroz testiranje – autonomno, koje sprovodi sam programer tokom razvoja 58

Razvoj softvera je samo deo razvoja informacionog sistema.

103

programa, i kompleksno, kad se softver testira u ambijentu približno realnom. Veoma je opasno brže-bolje završiti sve i objaviti da je softver gotov i predati ga korisniku. To bi bila grandiozna greška. Nezadovoljni korisnik koji ionako nema mnogo razmevanja niti poverenja u računarsku tehniku definitivno se razočara i program može da umre — Uvođenje. ''Bedno'', staro, ni od koga voljeno. Ova faza, bez stvaralačke iskre, uključuje aktivno angažovanje korisnika. Korisniku se izlazi u susret doradom softvera po naknadnim zahtevima. Na ovaj način se povećava efektivnost već razvijenog softvera. ''Ako je projekat znak za borbu, njegova realizacija i verifikacija – napad i pobednički povratak, uvođenje je višednevna odbrana, presudna za život bez posebnog respekta.'' Obično se ovaj posao ne poverava najsposobnijem stručnjaku. Zbog ove činjenice, u rukama ovakvog ''stručnjaka'', Stradivarijusova violina može da posluži samo za potpalu. Prema [Gla82], sledi da je uvođenje softvera u upotrebu skoro najvažniji, najobimniji i najskuplji korak u razvoju, iako je hronološki na poslednjem mestu. 5.5.5. Zaštita sistemske dokumentacije Konačno i dokumentacija o softveru može sadržati niz osetljivih informacija, npr. opise aplikativnih procesa, procedura i postupaka, procedura za dodelu ovlašćenja. Radi toga, softverska dokumentacija treba da bude pod zaštitom, dostupna samo licima sa odgovarajućim nadležnostima.

104

5.6. Zaštita (rezidentnih) podataka Rezidentni su oni podaci i/ili informacije koji ostaju zapisani, na nekom medijumu koji se koristi tokom procesa u IS.59 Upravo napadom na podatke [Hor98] sa rezultatima kvarenja (corruption) ili uništavanja podataka, obelodanjivanja podataka, krađe usluga i otkazivanja usluga dostižu se ciljevi napada na IS: status, politička dobit, finansijska dobit i materijalna šteta. Zaštita podataka zavisi od više faktora, mada navedeni faktori mogu da budu od uticaja na zaštitu celog IS: — vrsta i stepen tajnosti podataka — rok čuvanja podataka — raspoloživi resursi i — pretnje i svest o postojanju pretnji. 5.6.1. Zaštita podataka kalsifikacijom Za svaki poslovni sistem mora postojati propis na osnovu kojeg se klasifikuju podaci s obzirom na vrstu i stepen tajnosti. U svakodnevnoj praksi ''standardna vojna'' [Kuk02] (ne u Vojsci Srbije i Crne Gore) klasifikacija može biti: vrlo tajno (Top Secret), tajno (Secret), poverljivo (Confidental) i ograničeno (Restricted). Ostale klasifikacione šeme sadrže nivoe klasifikacije kao što su javno (Public), korišćenje samo u organizaciji (Organisation use only), lično (Personnel), samo lično i korespondent (Personnel and Addresse only). U našoj praksi poznate vrste tajni su: lična, poslovna, službena, vojna, državna... Kod vojne tajne postoje tri stepena tajnosti – interno, poverljivo i strogo poverljivo. Vrste i stepeni tajnosti nisu nepromenljivi. Oni se najčešće sa protokom vremena mogu menjati. Promenu donosi za to nadležan organ. Za svaku vrstu i stepen tajnosti sprovode se primerene mere zaštite. Pri tome, ukoliko su podaci na sredstvima informatičke tehnologije (rezidentni podaci), definišu se pravila za korisnički pristup, korisničke dozvole (read only, write, delete), kopiranje podatka, arhiviranje, prenošenje poštom, faksom ili e-mail-om, direktnu telefonsku komunikaciju, mobilne telefone, telefonske sekretarice, posebno pravila u radu na mreži. Podatke treba razvrstati u kategorije, npr. obračunske podatke, podatke u bazama podataka, podatke o transakcijama, podatke o proverama i operativnim procedurama, sa detaljima o periodu čuvanja i tipu medijuma na kojima se oni čuvaju, npr. papiru, mikrofišu, magnetskom, optičkom medijumu. Svaki pridruženi kriptografski ključ koji pripada šifrovanom arhivskom materijalu ili digitalnom potpisu treba da se čuva zaštićeno i da se prema potrebi daje na raspolaganje ovlašćenim osobama. 5.6.2. Raspoloživi resursi kao faktor zaštite podataka Raspoloživi resursi su:60 nasleđeni sistemi, bezbednosni alati, operativni sistemi, finansijska sredstva, Internet. Nasleđeni sistemi. Ranije, od 50-ih do 70-ih godina, IS su bili relativno bezbedni samom činjenicom da su se nalazili na mainframe mašinama i sa malo spoljnih veza. Ono što 59

U IS može da se radi sa podacima i/ili informacijama. Zbog jednostavnosti u daljem tekstu će biti reči samo o podacima. M. Libicky, 06.04.2002. godine.

60

105

sisteme čini ranjivim jeste pomak prema manjim i više otvorenijim sistemima (koji nisu građeni sa posebnim bezbednosnim činiocima) koji su se povezivali u računarske mreže. Za mnoge ljude otvoreni i umreženi sistemi već postoje a za druge su takvi sistemi stvar budućnosti. Ponekad je potrebna situacija kao što je Y2K61 da bi se podsetili da, mada tehnologija (glava sistema) brzo napreduje, zaostavština (rep) može biti vrlo duga i debela. Kako se ljudsko društvo kreće od zatvorenih svojinskih sistema ka otvorenim sistemima, postaje sve više izloženije bezbednosnim rizicima, posebno u sistemima koji upravljaju raznim procesima. Možda samo zbog toga može da se smatra da sledi opadanje nivoa bezbednosti u IS u narednim godinama. Operativni sistemi. Najveće slabosti računarskih sistema sadržane su u samim operativnim sistemima računara. Indikativno je da je UNIX sa svim svojim osobinama, nastao na Univerzitetu Kalifornije krajem 70-ih godina, i to u takvom akademskom okruženju gde termin ''računarska bezbednost'' nije imao veliki prioritet. Možda zbog takve prošlosti i akademskog nasleđa, na poboljšanju bezbednosti UNIX-a rađeno je na više načina nego na ostalim operativnim sistemima. Vremenom je UNIX postao daleko bezbedniji operativni sistem. Isto tako operativni sistem Windows NT, koji je baziran na Digital-ovom VMS operativnom sistemu (loše bezbednosno projektovan sistem), kroz dvadesetak godina, uz uticaj informacionog rata, biti prilično bezbedan sistem. Sadašnje verzije su manje bezbedne od UNIX-a i imaju mnogo sopstvenih nedostataka. Izgleda da u poslednje vreme proizvođači računara više pažnje obraćaju na neke neobične i nevažne osobine svojih proizvoda a ne na stabilan rad. Verovatno će ekonomska neizbežnost učiniti svoje i korisnici će shvatiti da n-ta dodatna osobina neće biti toliko neophodna, pa će proizvođači (i hardvera i softvera) početi da obraćaju pažnju na pouzdanost rada proizvoda koje prodaju. Pretraživanje preko Interneta je u međuvremenu postao centar razvoja računarske industrije. U pojedinim slučajevima, posebno u elektronskim komercijalnim aktivnostima, ljudi obraćaju ozbiljnu pažnju na bezbednost. Nezgodne osobine poslova na Internetu kao što su Java, AcitiveX (izuzetno loše), automatsko ažuriranje softvera i različiti ''ubaci i priključi'' proizvodi mogu biti nosači i činioci koje beskrupulozni pojedinci iskorišćavaju i unose veliko nespokojstvo korisnicima mreža. Bezbednosni alat. Trenutna kretanja oko pretnji u bezbednosti IS takva su da se smatra da problem postoji i da se može rešiti dodavanjem razih stvari bilo gde. Zaštitne barijere se stavljaju na ulaz nekog sistema i treba da spreče ulazak izvesnih tipova poruka, istražujući svaki paket poruke, i donose odluku na osnovu njihove navodne namene. Detektori upada traže posebne aktivnosti za koje se zna da su karakteristične za poznate vrste greški i tada preduzimaju određenu akciju (npr. upozoravaju administratora sistema, onemogućavaju neke privilegije korisnika, evidentiraju iz kojih sistema ili iz kojih brojeva kapija uljez dolazi). Danas se može smatrati da ni zašitne barijere niti detektori upada zajedno ne daju potpunu bezbednost ali su sve bolji za dati nivo pretnji. Nejasno je da li oni mogu postati ''suviše dobri'', u smislu da prema njima potencijalni protivnik podstakne anafilaktički šok (metafora iz imunološkog sistema62), tako da ih suviše stimuliše i time interne odbrambene mehanizme sistema postavi protiv samog sistema.63

61

Problem prelaska iz 20-og u 21. vek, odnosno sposobnost računara, računarskih sistema i aplikativnih programa da prihvate tu činjenicu i da na nju pravilno reaguju. Opisali ga Richet i Portije 1902. godine. Ispoljava se skupom burnih algerijskih pojava koje nastaju naglo po ponovnom prodoru u organizam one strane supstance na koju je on već senzibilisan. 63 Slično terminu “odbijanje pružanja usluge”. 62

106

Finansijska sredstva. Kako cena proizvodnje i nabavke uređaja za čuvanje i arhiviranje u računarskim sistemima opada, mogućnost čuvanja i arhiviranja svih podataka takva je da nijedan vlasnik ili korisnik nema pouzdano opravdanje za gubitak informacija (mada će nalaženje arhiviranih podataka posle pada sistema obično predstavljati duži proces). Kao očigledan primer, navodi sa da jedan DVD od 17 GB ima dovoljno kapaciteta da zapamti sve potrebne podatke o ceni i troškovima svih međugradskih telefonskih razgovora u SAD u toku jedne nedelje. U okruženju koje je bezbednosno ili operativno osetljivo, jedan brzi CD ROM može da zameni klasičan čvrsti disk za skladištenje operativnog sistema i time onemogući opstanak virusa u sistemu. CD ROM, koji radi bez bafera, može da zabeleži sve šta se dešava u nekom računaru i tako onemogući nekog hakera da ide unazad i obriše ili izmeni podatke. Internet. Evolucija Interneta, sama po sebi, oblikovaće bezbednosno okruženje IS u bliskoj budućnosti. Nove verzije Internet protokola IPv6 usavršavaju se sa mnogo novih bezbednosnih karakteristika, uključujući kriptografiju, slanje ključa i digitalni potpis. Ima indicija da IPv6 postaje univerzalan ali sama primena ostaje spora. Najveći prodor IPv6 se očekuje unutar specifičnih krugova akademskih ustanova i u vodećim svetskim gradovima. Neke osobine Interneta posebno su osetljive na napade64 i time ga čine posebno atraktivnim za hakere. Jedna od takvih osobina koja je posebno osetljiva je DNS (Domain Name Service) kojom se ''prevode'' imena (npr. www.ETF.edu.yu) u niz bajtova, odnosno u adresu, koja je izuzetno slabo zaštićena i ima malo kapaciteta za potvrdu autentičnosti samog imena. Smatra se da će to biti popravljeno i da će u većini slučajeva biti moguće da se utvrdi autentičnost i stvarni izvor bilo koje poruke koja dolazi u neki (računarski) sistem. Jedna od prisutnih osobina Interneta jeste da ne poseduje mogućnost naplate troškova na nivou paketa. Na taj način su omogućeni raznovrsni napadi u talasima (poplava poruka) i fokusirane napade teško je pratiti unazad do njihovog izvora. Perspektiva da se ova osobina eliminiše ili bar umanji vrlo je skromna. Kriptozaštita, kao mera zaštite zbog složenosti i obimnosti, biće obrađena naknadno. 5.6.3. Mere zaštite rezidentnih podataka Da bi se sprečilo kompromitovanje [ISO00] ili krađa podataka, i/ili opreme za obradu podataka, podatke i/ili opremu za obradu podataka treba zaštititi od razotkrivanja, menjanja ili krađe od strane neovlašćenih osoba, i treba postaviti kontrole kako bi se gubici ili oštećenja sveli na minimum.

64

Nedeljnik Sandej biznis svojevremeno je objavio vest da su hakeri uspeli neopaženo da pristupe informacionom sistemu engleske vojske i preuzmu kontrolu nad satelitom Skajnet 4. Otmicu satelita navodno je prva primetila severnoamerička aerokosmička komanda koja je oružane snage Ujedinjenog kravljevstva upozorila da se ''nebeski špijun'' ponaša čudno. Otmica je otkrivena kada se na komandnim ekranima (ispod planina u Škotskoj) pojavila poruka u kojoj su ''kindaperi'' potvrdili vest iz Amerike i zatražili pozamašnu sumu u zamenu za komandu nad satelitom. Nedavno je iz Amerike stigla vest koja ovdašnje hakere (Srbija i Crna Gora) svrstava među vodeće veb kriminalce. Naime, u istraživanju ''Sajber sors korporacije'' naša zemlja je označena kao prva među zemljama iz kojih potiču prevare u slučaju elektronske trgovine. Prema ''Politici'' od 24.04.2004. godine, u članku ''Veb kriminalci''.

107

Mada ima dosta sličnosti u zaštiti softvera i podataka, zbog značaja, podataka mere njihove zaštite biće obrađene posebno. Mere zaštite podataka se svrstavaju u četiri grupe: — sprečavanje neovlašćenog pristupa podacima — otkrivanje odstupanja od bezbednosti — mere selektivnog ograničavanja pristupa podacima i — evidentiranje pristupa podacima. Sprečavanje neovlašćenog pristupa podacima [IBM85] moguće je postići na više načina: — steganografijom, kojom se sakriva samo postojanje informacije, npr. u radio-vezama ubacivanjem kratkog impulsa, u kom su sadržane određene informacije, u emisiju, u kojoj se inače te informacije ne nalaze, ili ubacivanjem prave informacije među podatke koji ne predstavljaju nikakvu informaciju — skremblerima, tj. uređajima koji menjaju analognu formu informacije npr. u telefonskim vezama menjaju frekvencije signala, što se može primeniti i na signal na liniji između modema u prenosu podataka — kriptografijom, kojim postupkom se menja digitalna forma informacije i — restrikcijom fizičkog pristupa podacima. Nije isključena mogućnost da se, naročito, na radnim stanicama tipa personalnih računara jednostavno ne instaliraju drajvovi (jedinice) za izmenljive medije. Kućište centralne jedinice se zaključava. Računar sa podacima nema izlaz na javnu računarsku mrežu. Ovlašćenje je mogućnost ograničavanja korisnika na dostupnost samo određenim resursima i samo na korišćenje određenih funkcija informacionog sistema. Ovlašćenje u opštem slučaju sadrži kombinaciju različitih resursa, kao npr. terminala, linije, podataka i programskih funkcija (čitanje, ažuriranje), dodavanje, brisanje ili preimenovanje itd. Otkrivanje odstupanja od bezbednosti podataka treba da omogući evidentiranje namernih pokušaja, statistička praćenja i analize, jer pad odstupanja ispod proseka može značiti da neki korisnici uspevaju da zaobiđu bezbednosne rutine, odnosno evidentiranje. Postoje slučajevi, u današnje vreme sve dinamičnijeg razvoja sredstava za obradu podataka, kada neka sredstva nisu pod direktnom kontrolom vlasnika ili korisnika tih sredstava. U takvim slučajevima neke objekte više nije moguće fizički štititi od neovlašćenog pristupa, a samim tim i od nastupa odgovarajućeg rizika. Selektivno ograničavanje pristupa podacima rešava se preko sistema ovlašćenja koji može imati više nivoa složenosti. U sistemu se često korisnici ne definišu pojedinačno, već po grupama. Svakoj grupi se dodeljuje dvodimenzionalna matrica (matrica ovlašćenja ili nadležnosti), koja uparuje kategorije podataka na koje korisnik ima pravo pristupa toj pojedinoj funkciji, koju korisnik ima pravo da upotrebljava. Na taj način, dobija se trodimenzionalna matrica korisnici-podaci-funkcije. Jasno je da takva matrica predstavlja podatak s najvećim zahtevom na zaštitu. Ovlašćenje se revidira delegiranjem. Delegiranje u stvari znači održavanje matrice ovlašćenja. Ono može biti batch ili real-time. Delegiranje je delatnost rukovodstva na donošenju i menjanju pravila kontrole pristupa.

108

Evidentiranje rada na sistemu vodi se u cilju merenja i statističke analize pristupa podacima, a rezultati se beleže u posebnu datoteku. Prilikom evidentiranja, obuhvataju se svi interfejsi, ne samo terminal-sistem, već i sistem-sistem, ako je reč o mreži sistema ili o distribuiranoj obradi. Evidentiranje se obavlja za svaki pojedini resurs i za svakog pojedinačnog korisnika. Ono se vrši u odnosu na proteklo vreme, planski a i slučajno. Mora biti fleksibilno, pri tome posebna se pažnja poklanja matrici ovlašćenja. Na temelju analize podataka dobijenih evidentiranjem rada na sistemu, moguće je, i potrebno, u matricu ovlašćenja uneti određene korekcije. 5.6.3.1. Zaštita opreme i medijuma Poslovni sistemi treba da razmotre [ISO00] usvajanje ''politike praznog stola'' za papire i zamenljive medijume za skladištenje i čuvanje, kao i politiku praznog ekrana na opremi za obradu podataka kako bi se smanjili rizici od neovlašćenog pristupanja, gubljenja i oštećenja podataka tokom i izvan normalnog radnog vremena. Politika treba da uzme u obzir klasifikaciju zaštite podataka, odgovarajuće rizike i kulturne aspekte organizacije. Za podatke ostavljene na stolu takođe postoji verovatnoća da će se oštetiti ili uništiti u nekoj nesreći kao što je požar, poplava ili eksplozija. U cilju prevencije od neovlašćenog pristupanja, gubljenja i oštećenja podataka, treba preduzeti sledeće mere: — papire i računarske medijume koji se ne koriste treba skladištiti u pogodnim zaključanim ormanima i/ili drugim oblicima zaštitnog nameštaja, posebno van radnog vremena — osetljive ili kritične poslovne informacije kada nisu potrebne treba držati zaključane (idealno u protivpožarnom sefu ili ormanu), posebno kada je kancelarija prazna — uređaje, informacije ili softver ne treba iznositi bez odobrenja. Kada je neophodno i pogodno, uređaje treba odjaviti i ponovo prijaviti prilikom njihovog vraćanja. Na licu mesta treba proveravati kako bi se otkrilo neovlašćeno izmeštanje imovine. Pojedince treba obavestiti da se sprovodi kontrola na licu mesta. U posebnim slučajevima, u IS na poseban način treba regulisati postupak sa prenosivim medijima. U nekim slučajevima treba onemogućiti kopiranje na takve medije: diskete, CD i sl. — osetljive ili tajne informacije, prilikom štampanja, treba odmah ukloniti iz štampača — ne treba dozvoliti unošenje fotoaparata, video, audio ili drugih uređaja za zapisivanje,65 osim odobrenih. — ukoliko se iz (u) IS preuzimaju štampani materijali, treba voditi računa o sledećem: a) proverava se autentičnost primaoca izlazne dokumentacije b) evidentira se izdavanje izlazne dokumentacije i c) primalac izlazne dokumentacije proverava izlaz u odnosu na očekivani. U IS treba uspostaviti rutinske postupke za sprovođenje strategije izrade rezervnih kopija66 (postupci treba da budu propisani ali i da se sprovode). Poželjno je da se kopije čuvaju u drugom objektu, sa propisanom dokumentacijom, van računarskog sistema. Pristup kopijama mora biti restriktivan, kao i originalima. Prilikom evidencije, označavaju se i sami medijumi. Kod elektronskih resursa oznake treba ugraditi u zaglavlje dokumenta. 65 66

Na tržištu se mogu naći ručni časovnici sa tzv. fleš memorijom odnosno USB ulazom. Kopije se prave po modelu ''otac, sin'', pa nekad i treća kopija ''deda''; tri generacije.

109

Zbog ograničenog vremena retencije, zadržavanja podataka na kopijama u ispravnom stanju, kopije se blagovremeno moraju isprobavati i obnavljati. Sa zastarevanjem tehnologije, mora se obezbediti kontinuitet u čuvanju podataka na takvim medijumima, njihovim prepisivanjem na nove (aktuelne) medijume. Treba da se obezbedi takav komfor u pretraživanju, da bi se podaci dobijali u prihvatljivom vremenskom roku i formatu. Šema označavanja medijuma [Kuk02] trebalo bi da bude napravljena na osnovu klasifikacione šeme koja je zakonski i sudski prihvatljiva. Svi izlazi iz osetljivih sistema ili procesa trebalo bi da budu označeni tako da ukazuju na njihovu klasifikaciju, rok važnosti, a tamo gde je to neophodno, trebalo bi navesti i posebna uputstva za upotrebu. Zbog naročite osetljivosti medijuma u transportu, primenjuju se posebne mere zaštite koje garantuju pouzdanost osoblja, transportnih sredstava i pakovanja, kojim se transportuju medijumi. Konačno, ako IS koristi računarsku mrežu, merama zaštite treba sprečiti da se neovlašćeno menjaju (čitaju) podaci sa nekih od PC stanica u npr. LAN mreži. Softver koji ne pripada grupi softvera propisanoj za jedno radno mesto ne bi trebalo da se nalazi na toj radnoj stanici jer se lako može iskoristiti za presretanje podataka na mreži. Važne podatke u poslovnom sistemu treba zaštititi od gubljenja, uništenja i falsifikovanja. Za neke podatke može biti potrebno da se posebno štite kako bi se ispunili statutarni ili regulativni zahtevi, kao i da bi se podržale najvažnije poslovne aktivnosti. Primeri za to jesu zapisi koji mogu biti potrebni kao dokaz da organizacija posluje unutar statutarnih ili regulativnih pravila, ili da se osigura odgovarajuća odbrana protiv mogućih pravnih ili kriminalnih aktivnosti, ili da bi se potvrdilo finansijsko stanje organizacije u odnosu na deoničare, partnere ili kontrolore. Vremenski period i sadržaj podataka za informacije koje se čuvaju mogu biti postavljene nacionalnim zakonom ili regulativom. Usklađenost sa zakonskom regulativom, [ISO00], tačka 12.1.4.67 i potrebama o zaštiti podataka zahteva odgovarajuću strukturu rukovođenja i kontrole. Često se ovo najbolje postiže imenovanjem službenika za zaštitu podataka koji treba da pruža smernice rukovodiocima, korisnicima i davaocima usluga o njihovim ličnim odgovornostima i specifičnim procedurama koje treba da poštuju.

67

Mada se original, [ISO00], odnosi samo na podatke o ličnostima, takav stav je krucijalan iz aspekta angažovanja profesionalca koji je nadležan za bezbednost, odnosno zaštitu IS. Očigledno je da se ovako složenim sistemom (bezbednosti) mora baviti posebno lice ili tim u IS.

110

5.7. Zaštita infrastrukture Infrastrukturu IS čine: — računarski sistem — mrežna oprema za uspostavljanje računarske mreže — prostorije za smeštaj IS (IT i ljudstva) — uređaji za stabilno napajanje električnom energijom određenog68 napona i frekvencije — klima uređaj(i), ako je to nužno — uređaji za rasvetu — komunikacioni uređaji (telefon, interfon) — razne vrste instalacija (električne, vodovodne) — posebno opremljene prostorije za arhivu koja se čuva na magnetnim i drugim medijima koji se koriste u IS — namenski uređaji za razdvajanje, sortiranje i uništavanje štampanog materijala — specifičan protivpožarni sistem69 i — protivprovalni sistem za obezbeđivanje podataka sa najvišim stepenom tajnosti, posebno za prostorije u kojoj se čuvaju arhive. To su u stvari resursi, izuzev kadrovskog i softvera, koji treba da budu uslov optimalnog rada IS, posebno računarskog sistema. 5.7.1. Zaštita računarskog sistema kao dela infrastrukture IS Uređaj ili skup uređaja (tačka 5.3) koji se neposredno bavi(e) preradom podataka u IS je računarski sistem. Ovaj sistem, kao deo infrastrukture, kao specifičan elektronski uređaj svojim performansama i pravilnim korišćenjem omogućuje optimalan rad IS. Performanse računarskog sistema obezbeđuju se pravilnim izborom pri nabavci ovog dela opreme. Loš izbor opreme i/ili loše održavanje70 čest su uzrok zastoja u radu sistema (češći od napada spolja) i opravdanog nezadovoljstva korisnika. 5.7.1.1. Nabavka računarske opreme Prilikom nabavke računarske opreme važno je da se vodi računa svakako o kvalitetu opreme, načinu plaćanja, garantnom roku, referencama proizvođača (i ponuđača). Svi ovi faktori će uticati na donošenje odluke o tome od koga treba kupiti opremu. Nakon procene neophodnih elementa računarskog sistema, proračuna kapaciteta: frekvencije rada procesora, vrste i veličine RAM-a, vrste i veličine fiksnih i izmenljivih medijuma i usklađivanja (cene) zahtevane opreme sa raspoloživim finansijskim sredstvima, pristupa se nabavci računarske opreme.

68

Poznato je da su različiti naponi i frekvencije javne električne mreže u Evropi i SAD. Ovaj sistem, kad je u funkciji, ne sme biti uzrokom još veće štete u IS. Iskustvo autora više od dvadeset godina rada sa računarima ide u prilog važnosti ovog pitanja. Ne zanemarujući značaj drugih problema, dva do tri puta nedeljno imao sam probleme, ili na radnom mestu ili kod kuće na ličnom računaru, zbog otkazivanja opreme koja nije bila brand ili je bila stara. 69 70

111

Pojedini poslovni sistemi imaju interna pravila za nabavku – opremanje, propisan postupak za nabavku bilo kakve opreme: putem usmenog, pismenog nadmetanja ili slobodnom pogodbom na tržištu. Za državne organe ovaj postupak se reguliše i zakonom. U cilju jednoznačne i kvalitetne analize ponuda, neophodno je da zahtevom za ponudu bude eksplicitno zahtevano da ona obavezno sadrži opisane sledeće elemente. Kvalitet opreme. Određen je pouzdanošću i raspoloživošću opreme (kasnije će biti o tome reči). Kvalitet je određen i efikasnošću korišćenja opreme, a ova tri faktora su određeni eksploatacionim uslovima. Na našem tržištu u uslovnoj klasifikaciji opreme pojavljuju se dva skupa, brand71 name oprema i no name oprema. Plaćanje. Na klackalici između kupca i prodavca i u načinu plaćanja nastoji se doći do kompromisa u načinu plaćanja. Jedan od mogućih načina plaćanja jeste da se od prodavca zahteva da sve cene budu svedene na opciju sa važećom valutom, bez avansa i davanja prava za otkup deviza (ako to može da se ponudi), kao i bez obezbeđenja bankarske garancije, a uz mogućnost fazne isporuke i plaćanja. Ukoliko neki od ponuđača insistiraju na drugim uslovima plaćanja, neohodno je da eksplicitno navedu način preračunavanja iskazane cene, čime bi se izbegla nejednoznačnost iskazanih cena. Garantni rok. Za ponuđenu opremu može da iznosi od 1 do 3 godine, a ponekad je moguć i dogovor. Načelno, na našem tržištu, ovakve garancije daju i strani isporučioci, s tim da je ona za štampače, CD drajvove, uopšte integrisanu – elektromehaničku opremu, po pravilu najkraća – do jedne godine. Za svaku zahtevanu dodatnu godinu garancije, preko odobrene od ponuđača (garancija utiče na 7 do 9% povećanja – smanjenja cene opreme), ponuđač mora da navede kako ona utiče na ponuđenu cenu konkretne opreme. Svako od ponuđača mora obavezno i što detaljnije da definiše uslove korišćenja garancije za ponuđenu opremu; održavanje ili ne, rezervni delovi uključeni u cenu ili ne, vreme odziva na eventualnu prijavu kvara od strane konkretnog korisnika, pokrivenost teritorije SCG servisnom mrežom ponuđača, jednoznačno navedene i opisane eventualne obaveze (postupke) i uslove eksploatacije od strane kupca za normalno odvijanje podrške u garanciji. Zbog boljeg (organizovanijeg) održavanja, kupac se često opredeljuje za skuplju opremu.

71

Nije svaki ''brand'' – brand. Naime, kvalitet opreme definiše se sertifikatom (uverenjem) kojom ovlašćena institucija tvrdi da je proizvođač napravio ono što je izjavio da je uradio. Pisanim putem kaže se potrošaču da proizvođač govori istinu kada mu nudi robu ili uslugu. Autoru nije poznato da u Srbiji i Crnoj Gori postoji ovlašćena institucija koja izdaje sertifikate za računarsku opremu. Mada, Tehnički opitni centar kopnene vojske vrši proveru kvaliteta računara za potrebe Ministarstva odbrane i Vojske Srbije i Crne Gore.

112

Rok isporuke prvenstveno treba da bude primeren dinamici obezbeđenja ostalih uslova za razvoj IS: infrastrukture, softvera, kao i mogućnostima i dinamici plaćanja isporučene opreme. Reference ponuđača. Ukoliko kupac nema nameru da se bavi neposrednim uvozom, pored brojnih malih privatnih firmi koje se bave prodajom informatičke opreme, treba proveriti, recimo, koje su firme za prodaju računarske opreme najzastupljenije na tržištu, mada ovo ne mora biti primarno pravilo u izboru ponuđača. Proteklih godina, na primer, bili smo svedoci karakterističnog iskustva. Na tržištu je bilo prodavaca sa svih strana bivše SFRJ: Iris – Energoinvest Sarajevo, ISKRA Delta – Ljubljana, Velebit – Zagreb, Javor – Bitola itd. Mnogi kupci u sadašnjoj državi oslanjajući se na procenu boniteta firme po osnovu, recimo, broja komada prodate opreme, u nabavci računarske opreme od navedenih preduzeća izgubili su mogućnost održavanja u garantnom periodu. Sva oprema, računarska pogotovo, podleže: testovima, hardverskom testiranju servera i radnih stanica, testovima na funkcionisanje odgovarajućeg operativnog sistema (OS), funkcionisanju aplikacije razvijene za potrebe korisnika, testovima opreme u realnim uslovima rada, povezivanju računarskih konfiguracija u jednu celinu, aktiviranju uređaja na serveru (višekorisnička kartica, strimer traka, itd), proveri funkcionisanja lokalne mreže pod odgovarajućim operativnim sistemom, proveri kompatibilnosti disketnih uređaja, proveri funkcionisanja štampača (glavnog i lokalnih) pod odgovarajućim operativnim sistemom i sl. Saglasno dosadašnjem iskustvu i poznatim svetskim standardima, prilikom izbora najpovoljnijeg prodavca opreme, a u cilju dobijanja optimalnog rešenja po parametrima cena/performanse/pouzdanost, moguće je primeniti višekritrijumsku analizu (tabela 5.7.1) po parametrima/kriterijumima koje težinski treba vrednovati na način, na primer, kako sledi u Tabeli. Vrednost parametara određuje kupac s obzirom na uslove koje postavlja prema opremi. Za specijalne sisteme kada je u pitanju recimo pouzdanost, tada odnos kvalitet/cena ne može uopšte da se poredi. Nabavka računarske opreme može da ima štetne posledice, kupiti – pa imati podkapacitirane resurse ili kupiti – pa ne koristiti. Otuda što je zahtev veći – oprema skuplja, mora se uložiti mnogo napora da bi greška u odluci ili izboru opreme bila što manja. U nastavku, daćemo primer kriterijuma za upoređivanje računarske opreme. Ovaj kriterijum je prilagođen sistemima u kojima je kvalitet opreme na prvom mestu. Kriterijum za upoređivanje Kvalitet opreme Cena opreme Uslovi plaćanja način plaćanja visina avansa dodatni troškovi

Vrednost 0,230 0,230 0,228 0,091 0,091 0,023

113

dodatne pogodnosti Održavanje garantni rok servis vreme odziva Bonitet ponuđača iskustvo-referenca pouzdanost kompletnost ponude Rok isporuke Ukupno

0,023 0,182 0,081 0,081 0,020 0,092 0,041 0,041 0,010 0,038 1,000

Tabela 5.7.1. Primer kriterijuma za upoređivanje računarske opreme 5.7.1.2. Održavanje računarske opreme Održavanje je skup propisanih postupaka i radnji a sa ciljem obezbeđenja visokog nivoa pouzdanosti i raspoloživosti konkretne opreme. Pored pouzdanosti i raspoloživosti, koji omogućuju optimalno raspolaganje računarskom opremom, sastavni delovi pouzdanosti bi bili: bezotkaznost i obnovljivost računarske opreme. Bezotkaznost je svojstvo sistema da u datim uslovima eksploatacije zadržava određeno vreme svoje prvobitne osobine. Obnovljivost je svojstvo sistema da posle otkazivanja obnovi svoju funkciju. Obnovljivost u sebi sadrži dve komponente: — pogodnost remonta, koja je uslovljena čisto tehničko-konstruktivnim osobinama uređaja, odnosno sistema i — sistem održavanja, kojeg uslovljava odnos ljudi prema sistemu (kao što je kvalifikacija i obučenost ljudstva u eksploataciji i održavanju), postupci održavanja, metodika snabdevanja rezervnim delovima i potrošnim materijalom, metodika remonta i sl. Otkazivanje se naziva stanje u kom je došlo do narušavanja funkcije (promene stanja) komponente koja utiče na rad uređaja ili sistema, ili izlazak osnovnih parametara van datih tolerancija. Neispravnost je posledica otkazivanja komponente – stanje u kom se narušavaju osnovni parametri bilo kog elementa uređaja ili sistema. Razlikuje se prvorazredna ili katastrofalna neispravnost, gde je zbog neispravnosti jednog elementa došlo do otkazivanja čitavog sistema, i drugorazredna neispravnost, gde otkazivanje jednog elementa ne utiče na otkaz sistema kao celine. U praksi se verovatnoća bezotkaznog rada određuje metodima matematičke statistike. Za praksu je dovoljno približno određivanje pouzdanosti po jednačini: P(t) ≈

N0 − n(t) , N0

gde su: P(t) – verovatnoća bezotkaznog rada 114

N0 – broj sistema, komponenti, uzoraka na ispitivanju i n(t) – broj otkazivanih elemenata za vreme t. Intenzitet otkazivanja izražava se odnosom priraštaja otkazivanja ∆n u vremenskom intervalu t do t+∆t prema ukupnoj količini elemenata n.

λ (t ) ≈

∆n 1 ⋅ . n ∆t

Intenzitet otkazivanja izražava se obično, za elektronske uređaje, na 1h. Ako je u pitanju veće vreme, proračun se prilagođava prema tom vremenu. Ispitivanje elektronskih uređaja pokazuje da se intenzitet otkazivanja menja vremenom (slika 5.7.1).

λ

λI

uhodavanje

II

period eksploatacije

III

period rashodovanja

t Slika 5.7.1. Zavisnost intenziteta otkazivanja od vremena eksploatacije Uočavaju se tri karakteristična područja. Prvi period, period uhodavanja. Ovaj period je karakterističan po povećanom intenzitetu otkazivanja, zbog otkazivanja najmanje pouzdanih elemenata, odnosno elemenata sa skrivenim manama. Intenzitet otkazivanja u ovom periodu može da se smanji: — brižljivim izborom komponenti (sa pouzdanošću većom od 106) — brižljivim izborom radnih režima i — višestrukim i rigoroznim ulaznim, međufaznim i izlaznim kontrolama u proizvodnji. Uočava se da se na taj način realizuje tzv. brand oprema. Logično je da se ovako povećavaju troškovi proizvodnje, a samim tim i opreme. Neophodnost rigoroznosti potencira se smanjenjem vremena primene (višestruka primena) a ona postiže svoj

115

maksimum kod uređaja jednostruke primene. Višestruka primena je u stvari udvajanje uređaja, grupe uređaja ili čitavih sistema sa ciljem da se poveća raspoloživost. Tako udvojeni sistemi nazivaju se dupleks sistemi. Drugi period, period eksploatacije. Intenzitet otkazivanja je minimalan, a frekvencija otkazivanja konstantna. To je normalan eksploatacioni period. Za mainframe računare iskustveno se računa 1 kalendarska godina kao 7 godina starosti. Za personalne računare od 18 do 24 meseca već se računaju da su zastareli zbog vremena ''poluraspada'' tehnologije. U tom periodu, kapaciteti računara (veličine memorijskih resursa, frekvencija rada procesora) na tržištu se udvostručuju, a počinju i problemi sa rezervnim delovima. Treći period ili period rashodovanja. Karakterističan je po učestalim otkazivanjima svih primenjenih elemenata. Verovatnoća otkazivanja za taj period podvrgava se (Gausovoj) normalnoj raspodeli. Kod uređaja masovne primene (personalni računari) treba težiti tome da drugi period bude što duži tako da u trećem periodu računar bude već tehnički zastareo. To je razlog zašto skup (brand) računar, u stvari – nije skup. Kod složenih računarskih sistema drugi period je kraći pa je kod njih neophodno intenzivno održavanje da bi se taj period što više produžio. Kontrolom pojedinih delova, kroz praćenje osobina računara i uklanjanjem nedostatka što ranije, ustaljenim postupcima održavanja, omogućuje se to da računarski sistemi duže ostanu u ispravnom stanju i da funkcionišu pozdano. Ti postupci nazivaju se pregledi i remonti. Pregledi mogu biti: dnevni, nedeljni, mesečni i tehnički. Kod pregleda se prate72 i proveravaju performanse računara i/ili komponenti sa već ugrađenim hardversko/softverskim rešenjima. Istovremeno se vrše i potrebna čišćenja. Remonti obuhvataju postupke čiji je cilj da se preduhitre narastajući intenzitet kvarova koji su posledica uticaja starenja pojedinih komponenti. Ove komponente se mahom menjaju nakon nekog vremenskog perioda. Ova pravila se odnose na sva tehnička sredstva u računarskom sistemu. Eksploatacioni uslovi,73 pored održavanja, od uticaja su na pouzdano funkcionisanje računara. Na računarski sistem i njegove sastavne delove, sve do pojedine elektronske, elektromehaničke komponente ili mehaničke komponente, utiču tehnoklimatski faktori

72

Računari imaju ugrađenu mogućnost autodetekcije, ''prijave'' kvara i prijave mogućeg uzroka kvara. Ne rade svi računari u komforu, optimalnim tehnoklimatskim uslovima, kancelarijama, klimatizovanim prostorima. Autor je imao iskustvo u radu sa računarima na terenu, u šumi u nezagrejanim prostorijama. U takvim uslovima dešavalo se da se zaglavi papir na laserskom štampaču jer je papir bubrio od vlage. Računari se nisu smeli uključivati u hladnim prostorijama jer je zbog visoke relativne vlažnosti i niske temperature dolazilo do kondenzacije na računarskoj opremi. Vojske koalicije u Iraku 2003/2004. godina, imaju problema sa računarima zbog prašine, koja u dodiru sa vlagom kondenzovanom na uređajima tokom noći i ranim jutarnjim satima, stvara razne vrste kiselina koje drastično nagrizaju sve, posebno što je od metala, pa i delove elektronskih uređaja. 73

116

(temeperatura, vlažnost, pritisak, vibracije, prašina, gljivice, radijacija i sl) i unutrašnji faktori, pre svega električno i mehaničko naprezanje komponenti. Izraz za intenzitet otkazivanja tako dobija oblik: λ = λN ⋅ f 1(δ ) ⋅ f 2(P ) ⋅ f 3(U ) ⋅ ⋅ ⋅ ⋅ fn (x ) , gde su: λN – nominalna vrednost intenziteta otkazivanja f1(δ) – korekcioni faktor po temperaturi f2(P) – korekcioni faktor po disipaciji f3(U) – korekcioni faktor po naponskom opterećenju.

Vek trajanja izolacionog materijala, na primer, smanjuje se za 50% sa povećanjem temperature (od projektovane radne) za 10°C. Pored pravilno odabrane konstrukcije računarske opreme, na primer, koja će biti najmanje podložna mehaničkim uticajima sredine (vibracije, udari i sl), prilikom proračuna pouzdanosti, treba uzeti u obzir i nepredviđene uticaje radne okoline. Dobijena frekvencija otkazivanja za računar mora se korigovati onako kako sledi:

λ = Ksr ⋅ λur , gde su: Ksr – korektivni faktor sredine i λur – nominalni intenzitet (frekvencija) otkazivanja uređaja. Prema Tabeli 5.7.2, moguće korekcije u odnosu na sredinu bile bi: Sredina Laboratorija Stacionarni rad Rad na vozilu Rad na brodu Rad u avionu

Korektivni faktor 1 1,5 2 3 5

Tabela 5.7.2. Korekcije otkazivanja za računare u odnosu na radnu sredinu Tabela nas upućuje na kriterijume pri nabavci opreme. Očigledno je da oprema ugrađena u avione mora biti kvalitetnija – pouzdanija. Tzv. izolovana soba (slika 5.7.2) delimično rešava probleme zaštite infrastrukture. Ova ''soba'' treba da rešava problem KEMZ-a, toplotne izolacije, izolacije od agresivnih gasova spolja, zaštite od potresa i vibracija i zaštite od požara. Podrazumeva se fizička zaštita od neovlašćenog pristupa.

117

zid sobe u funkciji Faradejevog kaveza i toplotnog izolatora boce sa inertnim gasom za gašenje požara antitrusni nosači

Slika 5.7.2. Primer izolovane sobe Održavanje personalnih računara karakteristično je po sledećem: — izuzetno masovna primena različitih tipova, performansi i proizvođača — nedostupna dokumentacija o održavanju i za sklopove i za pojedinačne elemente — nema posebno obučenih specijalista za održavanje — tehnologija održavanja nije razrađena prema propisima (šta, kada i kako održavati) — ukida se pojam stoka rezervnih delova — problematična isplativost rada na održavanju (da li treba organizovati sopstveni servis, ekipu) — ne postoji namenski alat (instrumenti) za održavanje — pouzdan rad zavisi od konkretnih uslova — vremenski period korišćenja sve kraći (u nekim bankarskim institucijama ispod tri godine) — nestandardni ugradni elementi i — pouzdanost komponenata mahom ispod 106. Poseban problem za personalne računare, najčešće u privatnoj upotrebi, jeste održavanje softvera koji nije licenciran. Takođe, mediji za prenos i čuvanje podataka (softvera) kratkog su veka trajanja (do 3 godine za HDD — Hard Disk Drive). Sledstveno tome javlja se problem zbog mogućeg gubljenja podataka i otuda postoji obaveza izrade kopija, a ponekad i spasavanja podataka sa oštećenih medija i sl. 5.7.2. Zaštita ostalih sistema kao infrastrukture IS Da bi se sprečio gubitak, oštećenje ili kompromitovanje dobara i prekid poslovnih aktivnosti, infrastrkturu (uređaji) treba fizički zaštititi od pretnji njihovoj bezbednosti i opasnosti iz okoline. Neophodna je zaštita uređaja (uključujući i one koji su izmešteni) kako bi se smanjio rizik neovlašćenog pristupa podacima, i da bi se zaštitili od gubitka i oštećenja. Za zaštitu od opasnosti ili neovlašćenog pristupa, kao i samozaštitu infrastrkture, mogu se zahtevati posebne kontrole [ISO00]. Uređaje treba postaviti ili zaštititi tako da se smanji rizik od preopterećenja i pretnji iz okoline (blizina radarskih uređaja i provodnika visokog napona, kanalizacionih i 118

vodovodnih instalacija, uticaj mehaničkih vibracija, tramvaj, pruga, itd) i opasnosti, kao i mogućnost neovlašćenog pristupanja. Stavke pod posebnom zaštitom izdvajaju se da bi se smanjio opšti nivo zaštite. Kontrolama treba smanjiti rizik od oštećenja spolja. Uređaji se zaštićuju od nestanka struje redundantnim napajanjima (višestrukom kablažom, UPS-evima, rezervnim električnim generatorima, po mogućstvu u režimu neprekidnog napajanja). Za rezervne generatore mora biti obezbeđena dovoljna količina goriva. U prostoriji sa uređajima, u blizini izlaza za slučaj opasnosti, postavljaju se prekidači električnog napajanja, kako bi se olakšalo isključivanje u vanrednim situacijama. Za slučaj nestanka napajanja iz mreže mora biti obezbeđeno vanredno (panik) osvetljenje. Elektroinstalacija računarskog centra, sa mainframe računarom, izvodi se direkto sa trafostanice. Nedopuštene su neispravnosti, sklopki, prekidača, razvodnih tabli i sl. Na svim zgradama treba da se postavi zaštita od atmosferskih pražnjenja a na sve spoljne komunikacione vodove treba ugraditi zaštitne filtre. Kablovi napajanja ili telekomunikacioni kablovi, koji prenose podatke ili kojima se podržavaju informacione usluge, treba da se zaštite od prisluškivanja i oštećenja, mada se ne može postići apsolutna bezbednost od prisluškivanja (slika 5.7.2.1) prema [Hig89b].

''iscurena'' svetlost

optički kabl

detektor

plašt

Slika 5.7.2.1. ''Curenje'' svetlosti iz optičkog kabla Klima uređaj je poseban problem za računarski centar. On mora biti redundantno dimenzionisan. To dimenzionisanje podrazumeva plansko povećanje, pre svega, toplotnih disipatora u radnim prostorijama Taj uređaj treba da obezbedi optimalnu temperaturu, vlažnost vazduha pa i pritisak i optimalnu brzinu kretanja vazduha u radnim prostorijama (tabela 5.1.2). Klima uređaj podleže posebnom režimu održavanja.74 Za njega moraju biti obezbeđeni kritični delovi u sopstvenom skladištu, stabilan i dovoljan dovod svežeg vazduha, vode i električne energije. 74 Iskustvo autora. Zbog neispravnosti, nemogućnosti popravke klima uređaja (zastarela tehnika, nisu se mogli obezbediti rezervni delovi), računarski sistem na radnom mestu, leti je mogao da radi samo nekoliko sati noću kad se temeperatura spuštala na nivo dozvoljene.

119

Prema [ISO00] izmešteni i odbačeni uređaji, takođe, podležu posebnim merama zaštite. Izmešteni uređaji ili oni koji se koriste van prostorija računarskog centra koriste se po odobrenju i uz nadzor primenjujući mere zaštite po mogućstvu, kao i u radnim prostorijama. Odbačeni uređaji moraju biti pod posebnim režimom. To se naročito odnosi na medijume. Nakon upotrebe i prilikom odbacivanja, medijumi moraju da budu obezbeđeni od neovlašćene upotrebe. Magnetni medijumi se demagnetišu i/ili lome (kidaju). Nije preporučljivo njihovo spaljivanje iz ekoloških razloga. Deo infrastrukture podleže posebnom režimu kontrole, tzv. dopuštenoj i planskoj degradaciji. Planska (i dopuštena) degradacija treba da simulira vanredne okolnosti i ima za cilj proveru (re)vitalnosti sistema.

120

5.8. Protivpožarna zaštita Prema [Bob04], uništavanje75 nosača informacija usled požara, poznato još iz doba osvita svetske istorije kada su u katastrofalnom požaru spaljeni fondovi Aleksandrijske biblioteke, što je bio nepopravljiv i nenadoknadiv gubitak za ljudsku civilizaciju. Načini uništavanja informacija na papiru nisu se menjali kroz vekove. Nacisti u Nemačkoj spaljivali su ''nepodobne'' knjige. Narodna biblioteka Srbije je stradala u požaru koji je bio posledica bombardovanja 6. aprila 1941. godine (akt kulturnog genocida) itd. Poseban problem bio je ako su potpuno i nepovratno uništene tajne informacije. Poznati, bliži, primeri za to su uništavanje dokumenta u Američkoj ambasadi u Iranu tokom pobune protiv šaha Reze Pahlavija ili uništavanje arhiva Službe bezbednosti Istočne Nemačke prilikom rušenja Berlinskog zida. Vreme računara nije pošteđeno požara koji uništavaju nosače informacija, pa i cele računarske sisteme (požar u računarskom centru u fabrici ''1. maj'' u Pirotu). Požar se najčešće tretira kao elementarna nepogoda poput zemljotresa poplave ili uragana. Vatra je osnovni element požara. Podsetimo se suštine vatre. Vatra je oksidacija, hemijska reakcija kiseonika sa nekim (gorivim) materijalom uz veće ili manje oslobađanje toplote. Ta toplota, koja se oslobađa prilikom gorenja čini suštinu proliferantnosti vatre. Vatra se prenosi sa jednog na drugi materijal ukoliko je postignuta dovoljna tačka paljenja konkretnog materijala.76 Širenje, proliferacija vatre poseban je problem i uzrok (skoro) najvećeg nivoa štetnosti po IS u odnosu na sve druge uzroke šteta u IS. Prilikom delovanja svih drugih ''agresora'', posledice su takve da se IS može u izvesnoj meri obnoviti. Na primer, kod delovanja virusa, modifikacije ili krađe podataka, ne strada hardver, a štete na softveru su ograničene. Posledice požara u IS su sledeće: — stradanje ljudstva — uništenje (deformacija) resursa i podataka usled visoke temperature — uništenje resursa i podataka usled razvijenih štetnih gasova — uništenje resursa i podataka usled oksidacije (korozije) i — uništenje resursa i podataka usled nepravilne upotrebe sredstava za gašenje. Osnovu ''vatrenog trougla'' čine temperatura, kiseonik i goriva materija (lika 5.8.1). U suštini ove činjenice nalazi se odgovor u vezi sa prevencijom i sanacijom – gašenjem požara. Da bi se požar sprečio ili ugasio, potrebno je odvojiti jedan od tri elementa požarnog trougla. Broj i veličina štete od požara u IS (koji se ne javljaju samo u IS) zahtevaju posebno razmatranje ove sfere. Spomenuti požari u Glavi 3. finansijski su imali najteže posledice. Srednji nivo štete, usled požara, kretao se oko 2,7 miliona £ (funti sterlinga), a maksimalni nivo štete bio je oko 8 miliona £.

75 76

Koincidencija. Ovo poglavlje se obrađuje netom posle požara na Hilandaru. Fosfor se pali na 50°C.

121

kiseonik

toplota

materijal

Slika 5.8.1. Gorivi trougao 5.8.1. Područja požara Požar u IS se najčešće javlja na mestima gde se nalaze lako zapaljive materije (skladišta goriva za elektroagregate, okolina matričnih štampača zbog velike koncentracije papirne prašine), na mestima gde se povećava temperatura (sve elektroinstalacije koje se zagrevaju zbog preopterećenja i/ili podkapacitiranosti, lošeg projekta), prostorije u kojima je dozvoljeno pušenje i tamo gde se koriste otvorena grejna tela. 5.8.2. Protivpožarna preventiva Najvažnija protivpožarana preventiva sadržana je u visokoj odgovornosti i znanju osoblja, pre svega izvršilaca u IS, a delom i korisnika. Osoblje mora biti svesno verovatnoće pojave požara i posledica po ljudstvo i sredstva. Svi ponaosob treba da znaju: — koje su zabrane na snazi u cilju protivpožarne preventive — koje se mere preduzimaju u slučaju pojave eventualnog požara — posebno, šta se ne sme raditi pri gašenju vatre — koje su sanacione mere posle požara i — posebno koje su mere prve pomoći staradalim u požaru. Protivpožarna zaštita u IS (računarskom centru) počinje već od samog građevinskog projekta a svakako i realizacije tog projekta. Objekat treba da bude dovoljno udaljen od drugih potencijalno opasnih objekata zbog mogućnosti prenošenja požara. Prostorije sa većom verovatnoćom pojave požara moraju biti dostupne. U komunikaciji sa objektom i svim prostorijama ne sme biti prepreka. To se odnosi i na protivpožarne uređaje, oko njih ne sme biti prepreka. Građevinski materijali iskorišćeni u objektu ne smeju biti lako zapaljivi. Njihova temperatura paljenja mora biti maksimalno visoka.77 Sva protivpožarna pregradna vrata u štićenom krugu treba da imaju alarm i da se zatvaraju udarom. Ti prostori se dodatno štite vatrobranom pregradom (zid i/ili vrata). Vodovi goriva za agregate, kroz vatrobranu pregradu treba da imaju (automatske) ventile. Poželjno je da ti vodovi budu otporni na mehanička i toplotna oštećenja. Vatronepropusni materijali nisu beskonačno izdržljivi, pa se zbog toga likvidacija požara ne sme odgađati.

77 Podrazumeva se da i sva druga sredstva, uređaji, posebno nameštaj, podne obloge, zavese i sl, u računarskom centru budu teško zapaljivi.

122

U okviru organizacionih (zaštitnih) mera treba da postoji obaveza da se opasne ili zapaljive materije skladište na bezbednom rastojanju od zaštićenog područja. U zaštićenim područjima ne dopustiti skladištenje velikih pakovanja papira, sve dok to nije potrebno. Zabraniti ostavljanje informacija na stolu, jer [33] postoji verovatnoća da će se oštetiti ili uništiti u nekoj nesreći poput požara, poplave ili eksplozije. Važne informacije odlažu se u vatrostalne kase ili ormane. 5.8.3. Uređaji za otkrivanje požara Detektori požara [Teh88] ili porasta temperature, postavljaju se na mestima sa većom verovatnoćom pojave vatre i u prostorijama od posebnog značaja u kojima je nedopustiva bilo kakva šteta. Uređaji za otkrivanje požara uključuju, na primer: detektore zračenja na osnovu fotoelektriciteta, detektore gorive smese, detektore previsoke temperature, detektore brzine porasta temeperature, termovizijske kamere i optičke detektore sa staklenim vlaknima. U prostorijama, gde boravi ljudstvo, mogu da budu i detektori pojave dima i ugljen-monoksida. Najčešće se za brzo otkrivanje požara istovremeno upotrebljava kombinacija detektora, na primer: detektori brzine porasta temperature, detektori povišene temperature i detektori zračenja. Dobar sistem za otkrivanje požara mora ispunjavati više zahteva. On ne sme davati lažnu uzbunu, mora pravovremeno da otkrije i tačno naznači mesto gde je požar izbio. Kad se požar ugasi, ili ponovo pojavi, sistem to mora detektovati. Sve dok požar traje, sistem neprestano to mora da pokazuje. Mora postojati mogućnost planske provere sistema za dojavu požara iz neke prostorije sa stalnim prisustvom (dežurstvom) ljudstva. Detektori požara moraju biti imuni na eventualna oštećenja. Senzori detektora moraju biti što adaptivniji za ugradnju. Utrošak električne energije na detektore mora biti minimalan. Svaki sistem detektora mora imati svetlosne i zvučne indikatore u sobi sa stalnim dežurstvom. Mogući sistemi su: — sistem sa termosklopkama — sistem sa termoparovima — sistem sa tačkastim detektorima i — sistem sa neprekidnim prstenom.

Slika 5.8.2. Deo sistema sa neprekidnim prstenom Sistem sa neprekidnim prstenom potpunije pokriva ugroženo područje od bilo kog drugog sistema za otkrivanje požara. On reaguje na povišenu temperaturu i zatvara strujni krug koji služi za uzbunu. U zavisnosti od vrste senzora postoje dve vrste ovog sistema. Senzor sa dva električna provodnika reaguje na porast prosečne i lokalne temperature, a senzor sa 123

jednim provodnikom reaguje samo na povišenje temperature u jednoj tački. Oba sistema stalno kontrolišu temperaturu u području gde su postavljeni i, nakon što je požar ugašen, odmah su sposobni za rad bez spoljne intervencije. 5.8.4. Sredstva za gašenje požara U skladu sa Slikom 5.8.1, najbolja sredstva za gašenje jesu ona koja (istovremeno) hlade, snižavaju temperaturu, odstranjuju kiseonik (guše plamen) i odvajaju gorivi materijal od plamena. Voda ima sve ove karakteristike. Voda nije preporučljiva za gašenje u računarskim centrima iz više razloga: — izazivanja kratkih spojeva na elektroinstalcijama — dodatnog oštećenja nosača informacija (posebno papira) i — naknadne korozije svih uređaja koji imaju delove, pre svega, od gvožđa. Zbog rizika najbolje je za gašenje koristiti inertne gasove, na primer: — ugljen-dioksid — brom-metan — hlor-brom-metan — dibrom-difluor-metan i — brom-trifluor-metan. Svi ovi gasovi imaju prednosti i mane. Veći deo njih je problematičan zbog mogućnosti gušenja (trovanja) ljudstva u prostoru gde se upotrebljavaju. Brom-trifluor-metan je najmanje problematičan, nije otrovan ali je veoma skup. Ove gasove bi trebalo sprovoditi u područja požara cevovodom sa rupicama i brizgaljkama (mlaznicama). Da bi gašenje požara bilo efikasno, boce sa gasom moraju imati ventile koji se na električni impuls otvaraju eksplozijom. Tako se postiže udarno gašenje požara, a boca se isprazni za nekoliko sekundi. Alarmni i uređaji za dovođenje gasa u ugrožena područja čine jedinstven sistem za gašenje požara. 5.8.5. Prva pomoć stradalim u požaru Lečenje opekotina [Lar80] kao moguća posledica požara po ljudstvo, različito je i zavisi od toga da li je posredi laka ili teška opekotina. Kada su u pitanju male opekotine, dopušteno je preduzimanje prve pomoći na licu mesta primenom prvog zavoja. Nastavak lečenja podrazumeva angažovanje stručnog lica. Teža opekotina zahteva hitno prebacivanje povređenog u specijalizovani centar gde se prvo preduzima eventualna reanimacija a zatim se preduzimaju druge mere u skladu sa vrstom i stepenom povrede stradalog. Prilikom ugušenja (asfiksije), [Lar80], kao posledice stradanja prilikom požara, a i u drugim prilikama, lečenje se sastoji pre svega u otklanjanju uzroka ugušenja, uspostavljanju disajnih pokreta, intubacije ili traheotomije, odnosno metode usta-na-usta i od davanja kiseonika iz boce ili pomoću respiratora. 5.8.6. Sanacija posle požara Revitalizacija, sanacija IS započinje ispitivanjem uzroka pojave požara. Stoga treba voditi računa da se sačuvaju mogući dokazi koji upućuju na uzrok, eventualno, namerno izazvanog požara. To je važno da bi se utvrdila lična odgovornost. Proces gašenja požara ne znači da je u potpunosti otklonjena opasnost za nosače informacija u vatrostalnim kasama. Treba sačekati da se kasa ohladi spolja, pa tek onda mogu da se vade medijumi iz nje.

124

U sledećoj fazi nakon gašenja požara treba proceniti štetu, radi moguće naplate štete od odgovornog lica ili osiguravajućeg zavoda, a posebno zbog planiranja mera oporavka. Te aktivnosti treba sprovoditi uz puno učešće vlasnika poslovnih resursa i procesa. Ocenjivanje uzima u obzir sve poslovne operacije i nije ograničeno na određenu opremu za obradu informacija. Nakon ovih aktivnosti, pristupa se revitalizaciji sistema. Na ovoj tački dokazuje se neophodnost postojanja backup sistema.

125

5.9. Zaštita IS u radu u mrežnom okruženju Savremene računarske mreže se uglavnom zasnivaju na Internet tehnologijama i TCP/IP protokolima [Opp98]. Automatizovani informacioni sistemi zasnovani na Internet tehnologijama imaju iz aspekta zaštite podataka brojne slabosti, što je u velikoj meri prouzrokovano arhitekturom računarske mreže Internet/Intranet tipa: — TCP/IP protokoli nisu projektovani da zadovolje zahteve za zaštitom informacija i — Internet je mreža sa komutacijom paketa u kojoj se relativno jednostavno pristupa informacijama koje se prenose a moguće je i ubacivanje poruka uz nemogućnost kasnijeg određivanja njihovog porekla i sadržaja. 5.9.1. Neki tipovi napada u distribuiranim računarskim sistemima U ovom poglavlju su istaknute potencijalne opasnosti i načini ugrožavanja bezbednosti podataka u distribuiranim računarskim sistemima. Razmotreni su napadi koji se izvode unutar računarskog sistema ili na komunikacionim informacionim kanalima i navedeni su standardni postupci koji se primenjuju za zaštitu od datih napada. Postoji više vrsta ugrožavanja bezbednosti u distribuiranim računarskim sistemima [Mur98]. Prema cilju napadača, moguće je pretnje klasifikovati na sledeći način:77 — modifikacija ili uništavanje podataka — generisanje lažnih ili modifikacija legalnih poruka — odbijanje odgovornosti za poslatu poruku — poricanje prijema poruke — ponavljanje slanja poslatih poruka (retransmisija poruka) — narušavanje privatnosti – otkrivanje informacionog sadržaja poruke i — neautorizovano korišćenje računarskih resursa. Modifikacija ili uništavanje podataka Modifikacija ili uništavanje podataka, preko računarske mreže, predstavlja opasnost koja se odnosi na mogućnost pristupa internim memorijskim resursima računara sa bezbednosno-kritičnim informacionim resursima (npr. poverljive baze podataka). Data opasnost može biti prouzrokovana akcijama nelegalnih korisnika iz spoljašnjeg okruženja, ili neovlašćenim aktivnostima unutrašnjih subjekata. Pojedine vrste napada iz spoljnog okruženja mogu se sprečiti primenom mrežnih barijera (firewall). Mrežne barijere mogu se koristiti za zaštitu lokalne mreže koja je povezana sa javnom mrežom (npr. Internet), ali i u okviru lokalne mreže za zaštitu određenih segmenata date mreže. Mrežne barijere se takođe mogu koristiti za zaštitu pojedinačnih računara koji su preko modema priključeni na Internet okruženje. Određeni napadi iz spoljnog okruženja mogu se takođe sprečiti realizacijom određenih funkcija u specijalizovanim kriptografskim barijerama (Application Level Proxy), [Opp98]. Date funkcije se realizuju primenom asimetričnih i simetričnih kriptografskih algoritama. Dodatne mere zaštite od ovakvih napada obuhvataju digitalno potpisivanje izvršnih modula aplikacije sistema zaštite i proveru integriteta date aplikacije, primenom postupka verifikacije digitalnog potpisa pri svakoj autentikaciji ovlašćenog subjekta. Pored toga, moguće je da aplikacija, poverljiva baza podataka ili čitav disk budu šifrovani primenom 77

Podela nije primer dobre klasifikacije [How97]. Zbog ilustrativnosti prenosimo je u celini.

126

simetričnog algoritma uz odgovarajuću proceduru korišćenja ključa za dešifrovanje zaštićenih podataka (storage key). Najbezbednija procedura bi bila ukoliko bi se ključ čuvao na kriptografskom hardverskom koprocesoru datog računara. Ukoliko ne postoji kriptografski koprocesorski modul sa zaštićenom memorijom, bezbednosno-kritične parametre potrebno je čuvati na smart karticama. Naime, smart kartice poseduju memoriju koja je mikroprocesorski zaštićena od neautorizovanog pristupa tako da su pogodne za memorisanje bezbednosno-kritičnih podataka, kao što su kriptografski ključevi, digitalni sertifikati, lozinke i druge poverljive informacije. Smart kartice takođe izvršavaju određene asimetrične kriptografske algoritme, koji se primenjuju u realizaciji digitalnog potpisa, bez mogućnosti čitanja tajnih ključeva datog algoritma iz računarskog sistema. Generisanje lažnih ili modifikacija legalnih poruka Generisanje lažnih ili nelegalna modifikacija poruka, koje se prenosi u distribuiranom okruženju, jedan je od napada koji mogu da nanesu najviše štete legalnim učesnicima u komunikaciji. Svaka nelegalna promena u sadržaju poruke mora biti otkrivena i data poruka mora biti odbačena. Mogući način odbrane od ovog napada sadržan je u korišćenju procedure autentikacije subjekata u komunikaciji koja se zasniva na bilateralnoj razmeni digitalnih sertifikata uz višestruku proveru autentičnosti primenom asimetričnih šifarskih sistema. Integritet poruke može da se zaštiti primenom tehnologije digitalnog potpisa. Odbijanje odgovornosti za poslatu poruku Odbijanje odgovornosti za poslatu poruku pojavljuje se kao problem kada dođe do razlike u podacima o izvršenom prenosu podataka između učesnika u komunikaciji. U slučaju spora, moraju postojati kriptografski mehanizmi koji će nedvosmisleno ukazati na identitet pošiljaoca date poruke i potvrditi njen integritet. Dati problem moguće je rešiti primenom tehnologije digitalnog potpisa na bazi asimetričnih šifarskih algoritama. Poricanje prijema poruke Opasnost potiče iz sličnih razloga, kao i u prethodnom slučaju. Moguće je da subjekti komunikacije poreknu da su primili određene poruke, tako da je neophodno postojanje bezbednosnih mehanizama i protokola za razmenu podataka, pomoću kojih se može dokazati identitet primaoca poruke. Navedeni problem može se rešiti automatskim generisanjem, na strani primaoca, digitalno potpisane povratnice o prijemu date poruke. Pošiljalac poruke, verifikujući digitalni potpis primaoca na pomenutoj automatskoj povratnici, ima nedvosmislen dokaz o prijemu poruke i o identitetu subjekta koji je primio datu poruku. Ponavljanje slanja poslatih poruka Bez obzira na primenjene kriptografske mehanizme, opasnost ponavljanja već poslatih podataka (replay) od strane neovlašćenog subjekta, može narušiti funkcionalnu korektnost mrežnih servisa. Naime, neovlašćeni korisnik može sakupljati šifrovane poruke koje se prenose kroz sistem i, bez obzira na to što ih ne može dešifrovati, može ponavljati njihovo slanje odgovarajućem primaocu. Navedeni problem može se rešiti primenom tehnologije “vremenskog pečata” (time stamping) kojom se ugrađuje pouzdano sistemsko vreme u

127

zaglavlje poruke koja se prenosi. Upotrebom “vremenskog pečata” primalac jednoznačno proverava da li su ponovljene poruke legalne ili lažno generisane. Otkrivanje informacionog sadržaja poruke S obzirom na to da se za prenos podataka koriste komunikacioni sistemi u kojima je moguć neovlašćeni pristup, ne može se garantovati očuvanje tajnosti poslatih poruka. Narušavanje privatnosti je pretnja koja se odnosi na neautorizovani pristup poverljivim informacijama. Jedna vrsta napada bila bi prisluškivanje (eavesdropping), koju je veoma teško otkriti na vreme jer nema vidljivih spoljnih manifestacija. Prisluškivanje je veoma aktuelna vrsta napada jer se velika količina informacija u otvorenom obliku razmenjuje putem potencijalno nebezbednih kanala. Lažno predstavljanje (masquerading) je vrsta napada u kojoj napadač pokušava da iskoristi tuđi identitet radi napada na računarski sistem [Sta95]. Ukoliko se zahteva tajnost u prenosu podataka, tada se najčešće primenjuju mere kriptografske zaštite. Međutim, napadač može da pokuša da izvrši kriptoanalizu kriptografski zaštićenih poruka. Aktivnost napadača usmerena je otkrivanju tajnih parametara zaštićenih komunikacija. Mogućnost kriptoanalize određena je u najvećoj meri načinom čuvanja i razmene simetričnih i asimetričnih ključeva, dužinom ključeva, snagom primenjenog kriptografskog sistema i računarskim resursima napadača. Primera radi, na Internetu se za realizaciju tajnosti najviše koristi DES simetrični kriptografski algoritam, sa 56-bitnom dužinom ključa. Poznato je da postoje kriptografski uređaji koji mogu u realnom vremenu da izvrše transformaciju šifrata dobijenog primenom DES algoritma u otvoreni tekst, bez poznavanja ključa. Kao donja granica sigurnosti za primenu simetričnih šifarskih sistema određeni su kriptografski postupci sa 128-bitnom dužina ključa. Snaga primenjenog šifarskog sistema u dobroj meri određena je računarskim resursima napadača. Neautorizovano korišćenje računarskih resursa Neautorizovano korišćenje računarskih resursa najčešće se ispoljava kroz napad tipa ukidanje servisa (denial of service, DoS), [Ste98]. Osnovni cilj te vrste napada jeste narušavanje ispravnog rada raspoloživih servisnih programa u sistemu. Napadi navedenog tipa koriste zlonamerne programe za generisanje velikog broja zahteva za uspostavljanje konekcije sa napadnutim serverom, koji će biti odbijeni. Navedenim napadom dolazi do preopterećenja mrežnog servera koji nakon pokrenutog napada, ili prekida rad ili samo odgovara na zahteve iz napada tako da legalni korisnici ne mogu da mu pristupe. Postoji i varijanta napada koji se izvodi sa više računara koji realizuju koordinisan DoS napad na jedan ili više ciljnih računara (Distributed Denial of Service, DDoS). Ovu vrstu napada moguće je sprečiti korišćenjem mrežnih barijera (firewall). Napad tipa Trojanski konj (Trojan Horse) predstavlja distribuciju zlonamernih programa na radne stanice u računarskoj mreži. Ta vrsta napada obično se temelji na slabostima primenjenog operativnog sistema. Trojanski konj se korisniku prikazuje kao legalan program, ali je projektovan tako da izvrši dodatnu nelegalnu aktivnost. Ova vrsta računarskog virusa obično se maskira u sistemske programe i obriše tragove sopstvene instalacije. Jedini trag ostaje u izmenjenoj veličini (i funkcionalnosti) odgovarajućih sistemskih programa. Osnovni vid zaštite od napada tipa “trojanski konj” bilo bi postojanje odgovarajućeg višestepenog antivirusnog sistema, sa redovnim ažuriranjem baze virusa, i izgradnja svesti korisnika o izvesnosti ovog napada. Programski jezik Java uvodi novi mehanizam zaštite izvršnog koda aplikacije, baziranu na upotrebi digitalnog potpisa.

128

5.9.2. Višeslojna arhitektura sistema zaštite računarskih mreža Imajući u vidu slojevitu strukturu savremenih računarskih mreža, nameće se ideja da je za realizaciju pouzdanog sistema zaštite neophodno osmisliti i primeniti višeslojnu arhitekturu. Na Slici 5.9.1. prikazani su TCP/IP mrežni model i predloženi sistem zaštite [Opp98]. Uvođenjem dodatnih zaštitnih slojeva povećava se ukupna bezbednost sistema.

Slika 5.9.1. TCP/IP mrežni model predloženog sistema zaštite Sistem zaštite računarskih mreža trebalo bi da se sastoji od sledeća tri nezavisna bezbednosna nivoa [Opp98]. Zaštita “s kraja na kraj” (end-to-end security) na aplikativnom nivou koja se zasniva na primeni tehnologije digitalnog potpisa na bazi asimetričnih kriptografskih algoritama i zaštite tajnosti podataka primenom simetričnih kriptografskih algoritama [Ste98]. Primenom ovog nivoa zaštite obezbeđuje se: provera autentičnosti korisnika servisa mreže kako u procesu uspostavljanja komunikacije (end-user authentication), tako i u procesu kontrole pristupa (access control) resursima mreže, zaštita integriteta podataka, zaštita od mogućnosti naknadnog poricanja o slanju poruka, kao i zaštita tajnosti podataka. Najpoznatiji protokoli zaštite na aplikativnom nivou koji se primenjuju u mrežama Internet/Intranet tipa su: S/MIME (Secure Multipart Internet Mail Extensions), Kerberos, SET (Secure Electronic Transactions) i drugi. Ti sistemi se baziraju na primeni asimetričnih i simetričnih kriptografskih algoritama i digitalnim sertifikatima, kao jednoznačnim parametrima identifikacije strana u komunikaciji. Protokol SET je namenjen za zaštitu finansijskih transakcija, na bazi primene kreditnih kartica, između klijenata i banke. U savremenoj kriptografiji za zaštitu elektronske pošte se, umesto PGP (Pretty Good Privacy) protokola, češće koristi S/MIME protokol. Kerberos je protokol koji na bazi simetričnih kriptografskih algoritama, posredstvom aktivne treće strane od poverenja, realizuje razmenu sesijskih ključeva i autentikaciju učesnika u komunikaciji. Zaštita na transportnom nivou predstavlja zaštitu tajnosti podataka primenom simetričnih kriptografskih algoritama i uzajamne provere identiteta subjekata komunikacije. Ovaj nivo štiti komunikaciju subjekata od internih i eksternih napada primenom kriptografskih tunela (zaštićenih sesija) između čvorova komunikacionog segmenta mreže na bazi simetričnih kriptografskih sistema i primenom procedure “jake” autentikacije (strong authentication) između subjekata komunikacije. Dodatnom primenom simetričnih kriptografskih sistema na transportnom nivou realizuju se funkcije zaštite integriteta podataka koji se prenose kroz mrežu i nemogućnost poricanja emisije datih podataka.

129

Najpoznatiji korišćeni protokoli su: SOCKS, SSH (Secure Shell), SSL (Secure Sockets Layer), TLS (Transport Layer Security) i WTLS (Wireless Transport Layer Security). Protokol SSH se najčešće koristi za realizaciju bezbednog udaljenog pristupa računaru (remote login), izvršenja komandi na datom računaru i kopiranje datoteka između računara koji komuniciraju. Najčešće se koristi protokol SSL i sastoji se iz dve faze: autentikacije koja se bazira na primeni asimetričnih kriptografskih algoritama i razmeni digitalnih sertifikata, u kojoj se proverava autentičnost strana u komunikaciji i razmena sesijskog ključa, i kriptografskog tunela koji se bazira na primeni simetričnog algoritma sa sesijskim ključem koji je prenesen u fazi autentikacije. Protokol WTLS je bežična varijanta SSL protokola i služi za zaštitu na transportnom nivou između WAP (Wireless Application Protocol) mobilnih telefona i WAP servera na istim principima (autentikacija i kriptografski tunel), kao i SSL protokol. Zaštita na mrežnom nivou obezbeđuje zaštitu između mrežnih čvorova i štiti čitav distribuirani računarski sistem od spoljašnjih napada korišćenjem: — zaštitnih mehanizama koje pruža standardna komunikaciona oprema — postupaka zaštite primenom mrežnih barijera (firewall) — zaštitnih mehanizama na mrežnom nivou koje pruža operativni sistem i — fizičkih mera zaštite pristupa ruterima i serverima. Na mrežnom nivou vrši se zaštita integriteta, tajnosti i autentikacija IP paketa. Zaštita integriteta i autentikacija IP paketa najčešće se realizuje primenom kriptografskih kompresionih funkcija sa upotrebom tajnog ključa (Message Authentication Code, MAC), dok se zaštita tajnosti ostvaruje primenom simetričnih algoritama. Najpoznatiji protokol zaštite na mrežnom nivou jeste IPSec protokol (Internet Protocol Security), [Mur98]. Postoje dve varijante IPSec protokola: — IPSec protokol sa autentikacionim zaglavljem i — IPSec protokol sa enkapsulacijom šifrovanih IP paketa. IPSec protokol sa autentikacionim zaglavljem (Authentication Header, AH) obezbeđuje zaštitu integriteta i proveru identiteta pošiljaoca IP paketa. Naime, u autentikaciono zaglavlje upisuje se kriptografski otisak koji nastaje kao rezultat realizacije kriptografske kompresione funkcije nad tajnim ključem pošiljaoca i nepromenljivim sadržajem IP paketa. IPSec protokol sa enkapsulacijom šifrovanih IP paketa (Encapsulating Security Payload, ESP) obezbeđuje zaštitu tajnosti, integriteta i autentikaciju IP paketa. Naime, u prvoj fazi datog protokola vrši se šifarska transformacija celog IP paketa (zaglavlje i informacioni sadržaj). U sledećoj fazi, nakon realizacije šifrovanja, kreira se novi IP paket čiji je informacioni sadržaj (payload) prethodno dobijen šifrat. Kao kod IPSec protokola sa autentikacionim zaglavljem, slično se određuje i vrednost kriptografskog otiska, koji se smešta na kraj novoformiranog IP paketa. U zaglavlje novoformiranog IP paketa upisuje se i broj sekvence (Sequence Number), čime je omogućena zaštita od retransmisije poslatih poruka. IPSec protokol najčešće predstavlja osnovu za realizaciju virtuelnih privatnih mreža (Virtual Private Network, VPN) na mrežnom nivou. Šifrovanjem čitavih IP paketa (zajedno sa zaglavljem i IP adresama izvorišnog i odredišnog računara) obezbeđuje se vidljivost

130

mrežnih adresa samo pojedinih IPSec servera (VPN Gateway) iz spoljašnjeg okruženja, ali ne i računara koji komuniciraju. 5.9.2.1. Zaštita na transportnom nivou – SSL protokol Zaštita tajnosti na transportnom nivou u savremenim računarskim mrežama najčešće se ostvaruje upotrebom simetričnih kriptografskih algoritama, realizacijom procedure provere autentičnosti i uspostavljanjem kriptografskog tunela. Protokol SSL (Secure Sockets Layer) je protokol zaštite na transportnom nivou, opšte namene, koji omogućava zaštitu tajnosti u komunikaciji klijentskog i serverskog programa (slika 5.9.2). Protokol omogućava aplikacijama, koje se baziraju na primeni klijent – server arhitekture, da komuniciraju na način koji sprečava prisluškivanje i promenu sadržaja poruka. Protokol SSL predstavlja jedan de facto Internet standard. Prvu verziju ovog protokola predložila je kompanija Netscape, zatim je široko prihvaćen i implementiran u većini savremenih WEB čitača (browser). Izvršeno je nekoliko revizija SSL protokola, pri čemu je trenutno važeća verzija 3.0 koja je doživela neznatne izmene kroz specifikaciju TLS protokola. Osnovna namena SSL protokola jeste da obezbedi tajnost i pouzdanost podataka koji se razmenjuju između aplikacija.

Aplikativni sloj

Aplikativni sloj SSL

Transportni sloj

Transportni sloj

Mrežni (Internet) sloj

Mrežni (Internet) sloj

Mrežni interfejs

Mrežni interfejs

Slika 5.9.2. Mesto SSL protokola u referentnom TCP/IP mrežnom modelu SSL je protokol opšte namene jer se u referentnom TCP/IP mrežnom modelu, nalazi između transportnog i aplikativnog sloja. Datom arhitekturom postiže se transparentnost SSL protokola u odnosu na servise aplikativnog sloja. Takva organizacija omogućava da svi servisi aplikativnog nivoa, koji koriste TCP protokol, mogu koristiti SSL protokol, ostvarujući na taj način zaštitu podataka koje razmenjuju. Konekcija je osnovna apstrakcija na kojoj se zasniva SSL protokol, što je direktno uslovljeno činjenicom da se najčešće zasniva na pouzdanom TCP protokolu. Drugim rečima, SSL konekcija enkapsulira TCP konekciju dodajući joj nova svojstva: tajnost razmenjenih podataka i proveru njihovog integriteta.

131

SSL protokol obezbeđuje sigurnost ostvarenih konekcija iz tri aspekta: 1. Konekcije su tajne. Nakon inicijalnog “rukovanja” (handshake) definiše se ključ za ugovoreni simetrični kriptografski algoritam koji se zatim koristi za šifrovanje poruka 2. Provera autentičnosti strana u komunikaciji vrši se primenom asimetričnih kriptografskih algoritama i 3. Konekcija je pouzdana. Razmena poruka uključuje proveru integriteta zasnovanog na MAC (Message Authentication Code) funkcijama. SSL je složeni protokol sa slojevitom raspodelom odgovornosti koji se sastoji iz dva nivoa. Niži nivo SSL protokola predstavlja SSL Record protokol, koji koristi pouzdani protokol na transportnom nivou (TCP). Viši nivo SSL protokola je SSL Handshake protokol kojim se vrši uzajamna provera autentičnosti klijenta i servera, ugovaranje kriptografskog algoritma koji će se koristiti u komunikaciji, kao i bezbedna razmena ključeva. Niži sloj SSL protokola, SSL Record protokol, transformiše podatke, koje prima od protokola viših nivoa, u skladu sa parametrima transformacije ugovorenih SSL Handshake protokolom. Primenjena transformacija je složene prirode i podrazumeva upotrebu kompresionog algoritma, algoritma za izračunavanje MAC-a poruka koje se razmenjuju, i upotrebu dogovorenog simetričnog kriptografskog algoritma. Viši sloj SSL protokola, SSL Handshake protokol, definiše postupak kojim se inicira uspostavljanje SSL konekcije između klijenta i servera, koji podrazumeva uzajamnu proveru autentičnosti i razmenu javnih i tajnih parametara zajedničke komunikacije. Interakcija ta dva protokola vrši se kroz objekte sesije i konekcije, koji se tokom iniciranja komunikacije paralelno kreiraju u nekoliko koraka i na klijentskoj i na serverskoj strani. Kreiranje sesije i konekcije vrši se razmenom poruka definisanih handshake protokolom. Stanje sesije karakterišu sledeći atributi: — identifikator sesije — digitalni sertifikat strane koja je inicirala kreiranje sesije — identifikator algoritma za kompresiju podataka — identifikator simetričnog kriptografskog algoritma i — sesijski ključ. Konekcija je određena slučajnim vrednostima koje generišu klijent i server, tajnim veličinama koje se koriste za kreiranje i proveru MAC koda poruka, koje se razmenjuju simetričnim ključevima, i koji se koriste za šifrovanje poruka koje se šalju, i dešifrovanje poruka koje se primaju, kao i inicijalizacionim vektorima klijenta i servera. Na nivou konekcije pamti se broj primljenih, odnosno poslatih poruka i ovaj podatak učestvuje u izračunavanju MAC koda poruka koje se razmenjuju. Uloga SSL Handshake protokola jeste da obezbedi pouzdanu proveru autentičnosti strana u komunikaciji, baziranu na digitalnim sertifikatima i pouzdanu razmenu javnih i tajnih parametara za kreiranje kriptografskog tunela. Za razliku od SSL rekord protokola, koji se zasniva na upotrebi simetričnih kriptografskih algoritama, handshake protokol intenzivno koristi mehanizme koje obezbeđuju asimetrični kriptografski algoritmi. Specifikacijom SSL protokola predviđa se mogućnost upotrebe različitih asimetričnih kriptografskih algoritama, kao i razmena ključeva bazirana na Difi-Helmanovom (Diffie-Helman) postupku.

132

Da bi se inicirala SSL komunikacija posredstvom HTTP protokola (Hypertext Transfer Protocol), korisnik treba da, umesto standardnog načina pristupa URL lokaciji sa http://naziv_web_servera, u čitaču web stranica (browser) unese adresu servera sa https://naziv_web_servera. Standardni TCP port, na kom web server, primenom HTTP protokola, dobija poruke jeste 80 dok se, u slučaju primene HTTPS protokola (HTTP+SSL), koristi TCP port 443.

133

6. KRIPTOZAŠTITNA SFERA Ljudi su se od postanka služili različitim načinima sporazumevanja, pri čemu su pronalazili nove ili usavršavali postojeće oblike komunikacije. Mnogi oblici sporazumevanja postojali su i pre pojave prvog pisma. Prvi sukobi među narodima uslovili su pojavu prikrivanja sadržaja informacija što je uzrokovalo pojavu šifarske transformacije kao sredstva zaštite tajnosti podataka. U početnoj fazi primene, šifarska transformacija je predstavljala unapred dogovoreni postupak kojim se neka informacija pretvarala u nerazumljiv oblik za onoga ko ne poznaje dati način transformacije. Današnje vreme dinamičnog razvoja računarskih sredstava za obradu podataka odlikuje činjenica da određeni resursi nisu pod neposrednom kontrolom vlasnika ili korisnika datih sredstava. U takvim slučajevima neke objekte više nije moguće fizički štititi od neovlašćenog pristupa, a time niti od izlaganja odgovarajućem riziku. Kriptologija je nauka koja se bavi izučavanjem i analizom metoda za zaštitu tajnosti podataka. Kriptologija je multidisciplinarna naučna oblast koja u sebi sadrži matematiku, statistiku, lingvistiku i mnoge druge naučne discipline. U zavisnosti od predmeta istraživanja kriptologija se deli na [Sta95]: 1. Kriptografiju koja se bavi proučavanjem i definisanjem metoda za zaštitu poruka bez obzira na vrstu informacionog sadržaja i 2. Kriptoanalizu koja izučava metode za otkrivanje informacionog sadržaja kriptografski zaštićenih poruka bez prethodnog poznavanja tajnog parametra (kriptografski ključ), koji se koristi pri transformaciji poruka izvornog teksta. U zavisnosti od tipa izvornih poruka, koje se zaštićenom obliku prenose komunikacionim kanalima, u okviru kriptografije razlikujemo [Ant00]: 1. Kriptofoniju, koja se bavi istraživanjem i proučavanjem metoda za zaštitu govornih podataka i 2. Kriptoviziju, koja se bavi istraživanjem i proučavanjem metoda za zaštitu podataka u obliku slike. Prema specifičnim osobinama, a radi lakšeg proučavanja, kriptografski postupci se dele u dve grupe. Prva grupa obuhvata postupke tajne komunikacije, kod kojih je značajno da se sakrije čak i postojanje tajnog sporazumevanja. Navedeni postupci mogu se ostvariti primenom nevidljivog mastila, mikroskopskog pisma, dogovorenim označavanjem slova određenog teksta i slično, što omogućava prijemnoj strani da otkrije skrivenu informaciju sadržanu u poruci. Navedena kriptografska tehnika poznata je pod nazivom steganografija (Steganography), [Sta95]. Drugi grupa je češća i obuhvata sve ostale postupke koji, već po spoljašnjem obliku, ukazuju da se obavlja prenos kruptografski zaštićenih podataka.

6.1. Definicija osnovnih kriptografskih pojmova Kriptografski algoritmi su matematički postupci koji se koriste u procesu kriptografske transformacije podataka. Ako je sigurnost algoritma bazirana na čuvanju tajnosti kriptografskog postupka, onda je reč o algoritmima ograničenim sa pristupom (Restricted Algorithm), [Sch96]. Algoritmi sa ograničenim pristupom najčešće nisu pogodni za 134

primenu u savremenim distribuiranim sistemima sa velikim grupama korisnika (Internet). Naime, kada neki korisnik napusti grupu ili ako neko otkrije način rada algoritma, da bi se očuvala tajnost postupka, uvek se mora menjati algoritam. Svaka grupa korisnika mora koristiti jedinstveni algoritam i ako dati postupak nije verifikovan od strane nadležne državne institucije, može se izraziti sumnja u kriptografsku sigurnost primenjenog šifarskog postupka. Probleme koje imaju algoritmi sa ograničenim pristupom su, u modernoj kriptografiji, rešeni primenom tajnog parametra u procesu transformacije poruke – kriptografskog ključa (Key). Primenom ključa nije potrebno, u većini slučajeva, čuvati tajnost primenjenog kriptografskog postupka već tajnost korišćenog ključa. U zatvorenim lokalnim mrežama specifičnih državnih institucija (vojska, policija, diplomatija), osim ključa, čuva se i tajnost primenjenog kriptografskog algoritma. Opseg mogućih vrednosti ključa naziva se prostor ključa (Keyspace). Sistem kriptografski zaštićene komunikacije podrazumeva postojanje sledećih elemenata (slika 6.1), [Sti95]: — dva ili više učesnika u komunikaciji — kriptografski zaštićene poruke koje se prenose preko komunikacionog kanala — šifarske transformacije koja omogućava zaštitu informacionog sadržaja poruke tako da se njen sadržaj učini nerazumljivim za neovlašćene korisnike i — postojanje “nepozvanih“ subjekata (kriptoanalitičar) koji, na osnovu šifrata koji im je dostupan, nastoje da otkriju informacioni sadržaj kriptografski zaštićene poruke.

Kriptoanalitičar

Izvor poruke

X

EK K

Y

DK

X

Prijem poruke

Bezbedan kanal X – otvoreni tekst Y – šifrat K – kriptografski ključ EK – proces šifrovanja DK – proces dešifrovanja

Izvor ključa

Slika 6.1. Model kriptografskog sistema Otvoreni tekst (Plaintext) predstavlja svaki sadržaj (govor, računarski podaci, itd) koji se sastoji od konačnog broja simbola određenog alfabeta (slova, brojevi, biti, bajti itd). Otvoreni tekst koji predstavlja određenu logičku celinu naziva se poruka (Message). 135

Postupak transformacije otvorenog teksta u zaštićen oblik primenom određenog kriptografskog postupka naziva se šifrovanje (Encription, Encipherment). U savremenim sistemima zaštite šifrovanje poruke realizuje se primenom odgovarajuće kriptografske transformacije (algoritma) i korišćenjem tajnog parametra – kriptografskog ključa. Sadržaj dobijen nakon realizacije procesa šifrovanja naziva se šifrovani tekst ili šifrat (Ciphertext). Inverzan postupak, transformacija šifrata u otvoreni tekst naziva se dešifrovanje (Decryption, Decipherment). U procesu realizacije i šifrovanja i dešifrovanja koristi se kriptografski ključ, tako da je: E K (M ) = C , (1) D K (C ) = M , (2) gde su: E K (M ) – proces šifrovanja poruke otvorenog teksta M primenom ključa K i D K (C ) – proces dešifrovanja šifrovane poruke C primenom ključa K. Prethodne relacije mogu se zameniti jednakošću: DK (E K (M )) = M . (3) U savremenim sistemima zaštite najčešće su kriptografski algoritmi javno dostupni, dok se sigurnost određenog kriptografskog sistema bazira na tajnosti primenjenog ključa. Poruke koje je potrebno preneti najosetljivije su na mogućnost intercepcije od nepozvanih subjekata za vreme prenosa kanalima veze, tako da se one kriptografski štite neposredno pre realizacije procesa slanja. U kriptološkim istraživanjima posmatraju se skupovi šifarskih postupaka koji imaju određenu zajedničku karakteristiku i takvi postupci čine kriptografski (šifarski) sistem.

6.2. Ocena kvaliteta kriptografskog postupka Osobine koje treba da poseduje jedan šifarski postupak, a da bi mogao da se praktično primeni jesu: brzina transformacije, osetljivost na greške, ekonomičnost i kriptografska vrednost [Men97]. Brzina transformacije definiše se kao vreme koje je potrebno da bi se jedna poruka otvorenog teksta određene bitske dužine prevela u šifrat. Osetljivost na greške. U toku prenosa neminovno se javljaju greške koje mogu nastati kao posledica: promene šifrata u toku prenosa (slučajne greške, greške usled ometanja), nedovoljne obučenosti operatera ili složenih postupaka šifrovanja ili dešifrovanja. Često se, usled greške na šifratu, poruka ne može dešifrovati, tako da se mora izvršiti njena retransmisija. Ponovnim slanjem iste šifrovane poruke gubi se na vremenu i ponovnom zauzimanju resursa komunikacionog kanala. Takođe, treba razlikovati greške zbog kojih se poruka ne može dešifrovati, od onih grešaka koje se na osnovu drugog dela poruke mogu otkloniti. Ekonomičnost šifarskog postupka predstavlja karakteristiku kojom se definiše odnos broja znakova šifrata N C , prema broju simbola otvorenog teksta N M , i kvantitativno se određuje relacijom:

136

NC (4) . NM Za šifre kod kojih je dužina šifrata jednaka ili manja od teksta poruke (E ≤ 1) smatra se da su ekonomičnije. Kada je šifrat duži od poruke (E > 1) , smatra se da je primenjena šifarska transformacija manje ekonomična. E=

Kriptografska vrednost je najznačajnija od prethodno navedenih osobina šifarskog sistema i predstavlja element na osnovu koga se procenjuje koliko je kriptografski postupak siguran. Međutim, prilično je teško odrediti kvantitativnu meru sigurnosti jednog šifarskog postupka. Šifarske transformacije kod kojih posedovanje šifrata daje nultu količinu informacija otvorenom tekstu poruke, smatraju se apsolutno sigurnim šifarskim postupcima i imaju najveću kriptografsku vrednost. Apsolutno tajni kriptografski sistem obezbeđuje da kriptoanalitičar ne dobija od jednog, više ili svih šifrata, nastalih primenom datog šifarskog sistema, nikakvu novu informaciju o poruci, kao i čitavom sistemu poruka otvorenog teksta. Apsolutno tajni kriptografski sistem može se ostvariti koristeći ključeve, generisane na slučajan način, čija je bitska dužina najmanje jednaka bitskoj dužini poruka otvorenog teksta čija se transformacija realizuje. Pošto je apsolutno tajne šifarske sisteme teško realizovati, u realnim sistemima zaštite često se koriste šifarske transformacije koje poseduju visoku kriptografsku vrednost. Šifrati dobijeni primenom šifarskih postupaka visoke kriptografske vrednosti otežavaju ili čak onemogućavaju, u realnom vremenu, mogućnost kriptoanalize.

Od stepena tajnosti poruka otvorenog teksta zavisi i šifarski postupak koji će se primeniti. Međutim, odabir kriptografskog postupka koji se koristi za šifrovanje poruka ne zavisi isključivo od njegove kriptografske vrednosti. Naime, ako se zahteva velika brzina prenosa podataka, ponekad se apsolutno sigurni šifarski postupci ne mogu primeniti ako se njihovim korišćenjem sporo i neefikasno šifruje. Za kriptografsku zaštitu poruka čiji je informacioni sadržaj vremenski ograničen mogu se koristiti i manje sigurni šifarski postupci.

6.3. Kriptoanaliza Osnovni zadatak kriptografske zaštite podataka jeste to da se otvoreni tekst i ključ sačuva od pristupa neovlašćenih korisnika za koje se pretpostavlja da mogu da imaju pristup komunikacionom kanalu između pošiljaoca i primaoca poruke. U savremenoj kriptografiji kriptoanaliza se može definisati kao nauka o mogućnosti otkrivanja otvorenog teksta poruke, na osnovu posedovanja šifrata, bez poznavanja ključa. Uspešnom kriptoanalizom šifrovane poruke dolazi se do otvorenog teksta ili ključa. Pokušaj kriptoanalize naziva se napadom na određeni šifarski sistem. Osnovna pretpostavka u kriptoanalizi jeste da tajnost primenjenog kriptografskog sistema zavisi u potpunosti od ključa. Postoje četiri osnovna tipa napada na šifarski sistem [Sch96]. 1) Napad pri kom je poznat samo šifrovani tekst (Ciphertext-only attack). Kriptoanalitičar poseduje šifrovani tekst nekoliko poruka, šifrovanih primenom istog kriptografskog postupka. Cilj kriptoanalitičara jeste da dođe do otvorenog teksta što većeg broja poruka, ili da otkrije ključ (ili ključeve) koji je korišćen za šifrovanje poruka, kako bi mogao da dešifruje druge poruke šifrovane primenom istog ključa C i +1 = E k (Pi +1 ).

137

Poznato: C1 = E K (P1 ), C 2 = E K (P2 ), . . ., C i = E K (Pi ). Otkriveno: P1 , P2 , . . . , Pi , ključ k ili algoritam po kom se može doći do Pi +1 , na osnovu Ci +1 = E K (Pi +1 ) . 2) Napad pri kom je poznat šifrovani i otvoreni tekst (Known-plaintext attack). Kriptoanalitičar poseduje, ne samo šifrovani tekst nekoliko poruka već i otvoreni tekst tih poruka. Cilj kriptoanalitičara jeste da otkrije ključ (ili ključeve) koji se koristi za šifrovanje poruka ili da odredi algoritam čijom će primenom moći da dešifruje bilo koju novu poruku koja je šifrovana istim ključem. Poznato: P1 , C1 = E K (P1 ), P2 , C 2 = E K (P2 ), . . . , Pi , Ci = E K (Pi ) Otkriveno: ključ k ili postupak čijom primenom se može otkriti, i bez poznavanja ključa, poruka otvorenog teksta Pi +1 , na osnovu poznatog šifrata Ci +1 = E K (Pi +1 ) 3) Napad pri kom je poznat šifrovani i otvoreni tekst, pri čemu kriptoanalitičar može da bira otvoreni tekst (Chosen-plaintext attack). Kriptoanalitičar ne samo da poseduje šifrovani tekst nekoliko poruka i otvoreni tekst tih poruka, već on može da odabere otvoren tekst koji će biti šifrovan. Ova vrsta napada je efikasnija od napada pri kom je poznat šifrovani i otvoreni tekst, pošto kriptoanalitičar može da vrši odabir karakterističnih blokova otvorenog teksta koji će biti šifrovani, tj. da bira one blokove otvorenog teksta čiji bi šifrati mogli dati veću količinu informacija o ključu. Cilj kriptoanalitičara jeste da dođe do ključa (ili ključeva) korišćenog za šifrovanje poruka ili da otkrije algoritam čijom primenom će moći da dešifruje, bez poznavanja ključa, bilo koju poruku koja je šifrovana primenom istog ključa. Poznato: P1 , C1 = E K (P1 ), P2 , C 2 = E K (P2 ), K , Pi , C i = E K (Pi ), gde kriptoanalitičar bira P1 , P2 , K , Pi . Otkriveno: ključ k ili postupak čijom primenom se može otkriti, i bez poznavanja ključa, poruka otvorenog teksta Pi +1 , na osnovu poznatog šifrata Ci +1 = E K (Pi +1 ) . 4) Napad pri kom je moguće menjati otvoreni tekst (Adaptive-chosen-plaintext attack). Dati napad je poseban slučaj prethodnog napada, gde kriptoanalitičar ne vrši samo odabir otvorenog teksta koji će biti šifrovan, već može i da menja izabrani otvoreni tekst, na bazi rezultata prethodne kriptografske transformacije.

Pored prethodno navedenih, postoje još i sledeće vrste napada na kriptografske sisteme zaštite: Napad pri kom je moguće birati šifrovani tekst (Chosen-ciphertext attack). Kriptoanalitičar može da odabere različite šifrate koje može da dešifruje. Poznato: C1 , P1 = D K (C1 ), C 2 , P2 = D K (C 2 ), . . ., C i , Pi = DK (Ci ) . Utvrđeno: kriptografski ključ k. Dati napad je prvenstveno pogodan za primenu kod asimetričnih algoritama ali je, u nekim slučajevima, efikasan i pri realizaciji napada nad simetričnim algoritmima. Napad pri kom postoje informacije o ključu (chosen-key attack). Kod navedenog tipa napada kriptoanalitičar ima određena saznanja o vezi između različitih ključeva ili poznaje određene parove ključeva i poruka.

138

Napad pretnjom i ucenom (rubber-hose attack). Kriptoanalitičar podmićuje, preti, ucenjuje, ili muči nekog dok mu ne otkrije informaciju o ključu. Ovo je vrlo efikasan tip napada i često najbrži način da se izvrši kriptoanaliza kriptografski zaštićenih poruka.

U savremenoj kriptografiji često se primenjuju napadi pri kojim su poznati šifrovani i otvoreni tekst (known-plaintext) i napadi pri kojim su poznati šifrovani i otvoreni tekst, pri čemu kriptoanalitičar odabira otvoreni tekst (chosen-plaintext). Poznati su slučajevi da kriptoanalitičar podmićuje nekog da šifruje izabranu poruku ili da dobije otvoren tekst šifrovane poruke. Ponekad čak i nije potrebno nikog podmititi ako je, na primer, poruka dostavljena ambasadoru, ona će biti šifrovana i upućena u njegovu zemlju na dalju analizu. Takođe, mnoge poruke imaju standardne početke (header) i završetke (footer) koji mogu biti unapred poznati kriptoanalitičaru. Dešifrovanje šifrovanih poruka može se izvršiti primenom metode testiranja svih mogućih kombinacija ključeva logički proveravajući smisao rezultujućeg dešifrovanog teksta. Dati napad se naziva brutalni napad (brute-force attack). Parametri kompleksnosti napada na kriptografski sistem zaštite su: 1. Kompleksnost podataka (data complexity). Količina podataka koja je potrebna da bi se započeo proces kriptoanalize 2. Kompleksnost obrade (processing complexity). Vreme koje je potrebno, korišćenjem odgovarajućih računarskih procesnih elemenata (procesori), za realizaciju uspešnog napada koje se često naziva radni faktor (work factor) 3. Memorijski zahtevi (storage requirements). Količina memorije potrebna da bi se uspešno izveo napad na kriptografski sistem zaštite. Kompleksnost napada na određeni kriptografski sistem određuje se na osnovu najveće vrednosti od prethodno navenih parametara. Kod nekih tipova napada, ova tri faktora su međusobno povezana: brži napad se može realizovati ako je na raspolaganju veći kapacitet memorije. Na primer, ako neki algoritam ima kompleksnost 2128, onda je potrebno 2128 operacija za realizaciju kriptoanalize primenjenog šifarskog postupka, pri čemu navedene operacije mogu biti, u većoj ili manjoj meri, složene i vremenski zahtevne. Ako pretpostavimo da imamo dovoljno brz procesor koji omogućava izvršavanje milion operacija u sekundi i ako postavimo milion paralelnih procesora, potrebno je 1019 godina da bi se otkrio ključ. Dok je kompleksnost nekog napada relativno konstantna (dok se ne pronađe efikasniji metod kriptoanalize), procesna moć računara se stalno uvećava. Kriptoanalizu mnogih šifarskih postupaka je pogodno realizovati u distribuiranim računarskim sistemima gde se složeni zadatak može podeliti na niz nezavisnih delova koji se distribuiraju procesorima koji vrše paralelnu obradu. Stepen sigurnosti određenog kriptografskog algoritma zavisi prvenstveno od stepena kompleksnosti otkrivanja informacionog sadržaja kriptografski zaštićene poruke bez poznavanja ključa. Stepen sigurnosti uvek se izražava sa verovatnoćom pošto postoje mogućnosti primene nepoznatih metoda kriptoanalize algoritama. Za neki kriptografski postupak kaže se da je sa velikom verovatnoćom siguran ako je cena potrebna za kriptoanalizu algoritma veća od vrednosti šifrovanih podataka, ili ako je vreme potrebno za kriptoanalizu algoritma veće od vremena u kom šifrovani podaci moraju ostati tajni. Mada vrednost većine kriptografski zaštićenih podataka opada vremenom, važno je da

139

informaciona vrednost podataka uvek bude manja od cene potrebne za njihovu kriptoanalizu.

6.4. Kriptografske tehnike zaštite podataka Kriptografske tehnike zaštite podataka treba da obezbede realizaciju sledećih bezbednosnih zahteva [Sch96]: 1. Tajnost (confidentiality, secrecy) – zahtev koji obezbeđuje da informacioni sadržaj kriptografski zaštićene poruke bude dostupan samo ovlašćenim korisnicima 2. Integritet (data integrity) – zahtev koja se odnosi na mogućnost otkrivanja neovlašćene promene informacionog sadržaja poruke 3. Autentičnost (authentication) – zahtev koji se odnosi na mogućnost utvrđivanja identiteta učesnika u komunikaciji 4. Neporicanje (non-repudiation) – zahtev kojim se sprečava mogućnost poricanja realizacije određenih aktivnosti korisnika koji učestvuju u komunikaciji. Kriptografske tehnike kojima se ostvaruju navedeni zahtevi, realizuju se primenom odgovarajućih kriptografskih algoritama i protokola. Kriptografska transformacija otvorenog teksta u šifrat može se vršiti primenom tehnika: — premeštanja simbola otvorenog teksta (transpozicija) — zamenom simbola otvorenog teksta (supstitucija) i — kombinacijom sistema transpozicije i supstitucije. Transpozicioni sistemi čine skup šifarskih sistema kod kojih se simboli otvorenog teksta transformišu u simbole šifrata po unapred određenoj šemi permutacije. Pri šifrovanju simboli otvorenog teksta menjaju mesta, a obrazovana permutacija predstavlja ključ premeštanja. Osnovna karakteristika ovih šifarskih sistema jeste da se poruka može transformisati u onoliko različitih šifrata koliko iznosi ukupan broj različitih permutacija simbola otvorenog teksta.

Otvoreni tekst se može, na primer, zapisati horizontalno na papiru fiksne širine, a šifrovani tekst se dobija čitanjem po vertikali (simple columnar transposition cipher), [Den82]. Dešifrovanje se vrši zapisivanjem šifrovanog teksta vertikalno na papiru iste širine, a zatim se čitanjem po horizontali dolazi do izvornog teksta. Pošto su slova šifrovanog teksta ista kao i u otvorenom tekstu, frekvencija pojavljivanja simbola u otvorenom tekstu preslikava se na simbole šifrata, čime se umnogome olakšava mogućnost kriptoanalize. Šifarske transformacije koje pripadaju ovom sistemu su najčešće ekonomične, ali su male kriptografske vrednosti. Naime, kriptoanaliza šifrata dobijenih primenom transpozicionih sistema, relativno jednostavno se realizuje služeći se osobinom vezivanja slova u bigrame, trigrame i dr. Date šifarske transformacije se u savremenim komunikacionim sistema retko primenjuju za zaštitu tajnosti podataka. Susptitucioni sistemi obrazuju skup šifarskih transformacija kod kojih se simboli otvorenog teksta, prema unapred određenom postupku, zamenjuju određenim simbolima iz prostora šifrata.

140

Navedeni sistem se može podeliti na sledeće podsisteme: — Monoalfabetske šifarske sisteme zamene (monoalphabetic substitution cipher) koji predstavljaju postupke jednostavne zamene gde se svakom elementu otvorenog teksta dodeljuje jedan simbol šifrata — Homofonske šifarske sisteme zamene (homophonic substitution cipher) koji su slični monoalfabetskim sistemima, s tim što se svaki simbol otvorenog teksta preslikava u jedan ili više simbola šifrovanog teksta — Poligramske šifarske sisteme (polygram substitution cipher) koji predstavljaju postupke gde se istovremeno vrši kriptografska transformacija dva ili više simbola otvorenog teksta i — Šifarske sisteme složene zamene ili tzv. polialfabetske kriptografske sisteme (polyalphabetic substitution cipher) koji se definišu kao postupci kod kojih se simboli otvorenog teksta šifruju skupom postupaka od kojih svaki predstavlja sistem proste zamene – monoalfabetski šifarski sistem. Ključ za šifrovanje predstavlja broj i vrste primenjenih postupaka monoalfabetskih šifarskih sistema. Dati šifarski postupci su ekonomični i kriptografska vrednost im zavisi od ključa za šifrovanje, kao i primenjenih transformacija kojima se vrši preslikavanje teksta poruke u odgovarajući šifrat. Kriptografska transformacija poruka se može realizovati pogodnom kombinacijom transpozicionih i supstitucionih sistema, što čini kombinovani sistem šifrovanja. U savremenim kriptografskim sistemima, simetrični kriptografski algoritmi primenjuju dati kombinovani način transformacije poruka. 6.4.1. Savremeni simetrični kriptografski algoritmi Grupu simetričnih kriptografskih algoritama predstavljaju algoritmi kod kojih je ključ za šifrovanje identičan ključu za dešifrovanje, ili se jednostavnom transformacijom ključa za šifrovanje može izvesti ključ za dešifrovanje. Algoritmi iz ove grupe nazivaju se i algoritmi sa tajnim ključem, pošto je tajnost ključa u procesu šifrovanja i dešifrovanja najznačajnija za očuvanje tajnosti informacionog sadržaja zaštićenih poruka. Simetrični kriptografski sistemi predstavljaju osnovu tradicionalne kriptološke teorije i razvijaju se dugi niz godina. S obzirom na to da zaštita informacija ima težišnu primenu u poslovima državnih struktura, simetrični algoritmi su u početnoj fazi razvoja bili isključivo tajni, namenski definisani i realizovani od strane nadležnih državnih institucija.

Intezivnom primenom elektronskih oblika komunikacija javila se potreba za definisanjem javnih simetričnih kriptografskih sistema tako da je u poslednjoj deceniji razvijeno više javnih simetričnih algoritama koji se primenjuju u bezbednosno-kritičnim aplikacijama. Dati algoritmi uglavnom se koriste u aplikacijama vezanim za sisteme poslovnih i finansijskih transakcija u mrežnom okruženju. Nijedan simetrični algoritam se ne koristi kao standard, već navedeni sistemi uglavnom koriste liste implementiranih kriptografskih algoritama. Najčešće se kao parametar komunikacije bira i identifikator simetričnog šifarskog algoritma koji će se koristiti pri kriptografskoj zaštiti poruka. Prema načinu obrade ulaznih podataka, postoje dve vrste simetričnih kriptografskih sistema [Seb89]: — blok šifarski kriptografski sistemi (block cipher, bulk cipher) i — sekvencijalni šifarski sistemi (stream cipher).

141

Blok šifarski sistemi obrađuju nešifrovane poruke otvorenog teksta i šifrata u blokovima određene veličine, koja zavisi od primenjenog algoritma. Sekvencijalni šifarski sistemi vrše transformaciju niza bita, bajtova ili drugih simbola otvorenog teksta. 6.4.1.1. Blok šifarski sistemi Definisan je veliki broj javnih simetričnih algoritama koji se koriste kao de facto standardi u savremenim sistemima zaštite. Tokom primene, uočene su izvesne slabosti karakteristične za upotrebu blok šifarskih sistema u specifičnim uslovima. Te slabosti se otklanjaju primenom odgovarajućih kriptografskih modova. 6.4.1.1.1. Kriptografski modovi blok simetričnih sistema Kriptografski mod predstavlja način upotrebe osnovnog šifarskog algoritma i načešće je kombinacija povratne petlje i dodatne jednostavne operacije [Men97]. Operacije koje se koriste u različitim kriptografskim modovima jednostavne su jer je sigurnost sistema uslovljena stepenom pouzdanosti osnovnog šifarskog algoritma, a ne primenjenim kriptografskim modom. 6.4.1.1.1.1. Mod elektronske kodne knjige Mod elektronske kodne knjige (Electronic CodeBook, ECB) predstavlja najjednostavniji način upotrebe simetričnih kriptografskih algoritama. Primenom moda elektronske kodne knjige, svaki blok otvorenog teksta transformiše se u blok šifrata, bez postojanja bilo kakve povratne sprege (slika 6.2). xj n Ključ

E −1

E

Ključ

n

x′j = x j

cj ( I ) Šifrovanje

( II ) Dešifrovanje

Slika 6.2. Grafički prikaz operacija u ECB modu

Mod elektronske kodne knjige predstavlja najjednostavniji i najbrži način primene simetričnih kriptografskih algoritama. Nedostatak u primeni ovog moda ogleda se u činjenici da ukoliko kriptoanalitičar poznaje parove otvorenog teksta i šifrata za određeni broj poruka, može napraviti elektronsku kodnu knjigu, pomoću koje može da bez poznavanja ključa realizuje kriptoanalizu šifrovanih sadržaja. Naime, iste poruke otvorenog teksta imaće isti šifrat, pa se prostom zamenom blokova šifrata dobija izvorni tekst. Ponavljanje određenih fragmenata poruka realna je pojava a navedeni nedostatak može se eliminisati na dva načina: — Primenom kompresionih metoda, bez gubitka informacionog sadržaja. Različite kompresione metode se upravo zasnivaju na prepoznavanju bitskih segmenata koji se ponavljaju i na eliminisanju njihovog ponavljanja i — Primenom drugih kriptografskih modova.

142

Slabosti moda elektronske kodne knjige ne ispoljavaju se ukoliko se uvek šifruju različite poruke otvorenog teksta. 6.4.1.1.1.2. Mod ulančavanja blokova Mod ulančavanja blokova (Cipher Block Chaining, CBC) povezuje blokove šifrata tako što se rezultat šifrovanja prethodnih blokova koristi pri šifarskoj transformaciji tekućeg bloka (slika 6.3). Navedenim postupkom postiže se to da svaki blok šifrata ne zavisi samo od tekućeg bloka već i od svih prethodno šifrovanih blokova otvorenog teksta. IV Otvoreni tekst Ključ

⊕ E

Šifrat

E −1

⊕

∆t

Ključ Otvoreni tekst

IV Slika 6.3. Grafički prikaz operacija u CBC modu

U modu ulančavanja blokova, blokovi se mođusobno povezuju tako što se realizuje operacija “ekskluzivno ili” (XOR) između tekućeg bloka otvorenog teksta i prethodno šifrovanog bloka, a zatim se tako dobijeni blok šifruje. Proces dešifrovanja odvija se na inverzan način: dobijeni blok podataka dešifruje se a zatim se primeni operacija “ekskluzivno ili” nad tako dobijenim blokom podataka i prethodnim blokom šifrata. Karakteristika moda ulančavanja blokova jeste da se identični blokovi otvorenog teksta šifruju u različite blokove šifrata. U prvom koraku šifrovanja i dešifrovanja neophodno je korišćenje inicijalnog vektora, čija je bitska dužina jednaka veličini bloka koji se šifruje, odnosno dešifruje. Inicijalni vektor ne mora biti tajni podatak iako je pogodno da se generiše na slučajan način čime se dodatno povećava bezbednost sistema. Jedna od slabosti kriptografske transformacije u modu ulančavanja blokova jeste da proces šifrovanja i dešifrovanja podataka, kao i u modu elektronske kodne knjige, ne može započeti sve dok nije raspoloživ kompletan blok podataka. 6.4.1.1.1.3. Mod povratnog šifrovanja U određenim primenama javlja se potreba da se delovi otvorenog teksta šifruju i prenose u jedinicama veličine manje od osnovne veličine bloka. U modu povratnog šifrovanja (Cipher Feedback Mode, CFB), podaci se šifruju u jedinicama manjim od osnovne veličine bloka (n bita) i ovaj mod se označava kao r-bitni mod povratnog šifrovanja (slika 6.4), gde je r manje ili jednako od veličine bloka podataka primenjenog blok šifarskog algoritma (r ≤ n ) .

143

r

r

IV Ključ Otvoreni tekst

E

IV

r

r

⊕

Ključ

E

∆t Šifrat

⊕

Otvoreni tekst

r

Slika 6.4. Grafički prikaz operacija šifrovanja i dešifrovanja u CFB modu Operacija šifrovanja realizuje se na sledeći način: ― otvoreni tekst se podeli na blokove veličine r bita, formira se inicijalizacioni vektor veličine n bita (veličina bloka) i upiše u povratni registar. Odabere se ključ šifarske transformacije ― formira se izlazni blok tako što se primenom odabranog ključa izvrši šifrovanje sadržaja povratnog registra ― blok šifrata se formira tako što se primeni operacija ekskluzivne disjunkcije nad sadržajem tekućeg bloka otvorenog teksta i r bita najmanje težine izlaznog bloka. ― sadržaj povratnog registra pomeri se za r bita ulevo, a na mesto r bita najmanje težine upisuje se formirani blok šifrata. Dešifrovanje se odvija primenom slične procedure (slika 6.4). Jedna od karakteristika CFB moda jeste da se i na prijemnoj i na predajnoj strani osnovni šifarski algoritam koristi u modu za šifrovanje. 6.4.1.1.1.4. Izlazni povratni mod Izlazni povratni mod (Output Feedback Mode, OFB) predstavlja spoj dobrih osobina ECB i CFB moda, koji sprečava propagaciju grešaka i omogućava prenos podataka u jedinicama manjim od osnovne veličine bloka (slika 6.5). r r

IV Кljuč Otvoreni tekst

E

⊕

IV r

Ključ Šifrat

r E

⊕

r

Otvoreni tekst

Slika 6.5. Grafički prikaz operacija u OFB modu Šifarska transformacija otvorenog teksta odvija se na sličan način kao u CFB modu. Razlika je u tome što se povratna sprega ostvaruje korišćenjem sadržaja izlaznog bloka, dok se kod CFB moda ostvaruje korišćenjem bloka šifrata. Analizom je pokazano da OFB kriptografski mod treba koristiti samo za šifrovanje blokova veličine osnovnog bloka primenjenog simetričnog šifarskog sistema. 6.4.1.1.1.5. Izbor odgovarajućeg kriptografskog moda Koji će se mod, od četiri osnovna kriptografska moda – ECB, CBC, OFB ili CFB, primeniti u konkretnoj aplikaciji zavisi od bezbednosnih zahteva korisnika [Đor02]. Ako se

144

zahteva najveća brzina šifrovanja i dešifrovanja bloka podataka, tada je najbolje primeniti mod elektronske kodne knjige (ECB mod). Takođe, dati mod je pogodan za šifrovanje podataka male bitske dužine, kao što su ključevi, pošto se tada ne iskazuju prepoznatljive slabosti ECB moda. Kriptografski mod ulančavanja blokova (CBC mod) najčešće se primenjuje u procesu šifrovanja datoteka. Mod povratnog šifrovanja (naročito 8-bitni CFB mod) najčešće se primenjuje za kriptografsku trnsformaciju nizova karaktera, u kojima se svaki karakter posebno šifruje, na primer, u vezi između terminala i računara (host computer). Izlazni povratni mod (OFB mod) najčešće se primenjuje u sinhronim sistemima visokih brzina gde je potrebno sprečiti propagaciju grešaka. 6.4.1.1.2. IDEA algoritam Simetrični kriptografski algoritam IDEA (International Data Encryption Algorithm) jedan od je najzastupljenijih blok šifarskih algoritama u komercijalnim aplikacijama [Sch96]. Algoritam IDEA vrši šifrovanje otvorenog teksta u blokovima od 64 bita primenom ključa dužine 128 bita (slika 6.6). Transformacija otvorenog teksta odvija se kroz osam ciklusa i po završetku poslednjeg ciklusa dobija se šifrovani tekst.

Za dati 64-bitni otvoreni tekst M = m1m2 K m64 i 128-bitni ključ K = k1k 2 K k128 proces šifrovanja odvija se na sledeći način: 1. Formiraju se ključevi koji učestvuju u realizaciji kriptografske transformacije poruke M: • Ključ K se podeli na osam 16-bitnih blokova i tako se dobiju blokovi podključeva K1(1) , K 2(1) , K , K 6(1) , K1( 2 ) , K 2( 2 ) . • Nakon realizacije prethodnog koraka, ciklično se pomera sadržaj 128-bitnog ključa K ulevo za dvadeset pet bita. Tako dobijena vrednost podeli se na osam 16-bitnih blokova koji se dodele blokovima podključeva K 3( 2 ) , K 4( 2 ) , K 5( 2) , K 6( 2) , K 1( 3) , K 2(3) , K 3( 3) . • Prethodna procedura se realizuje sve dok se ne dobije 52 bloka podključeva:

K1(1) , K 2(1) ,K, K 6(1) , K1( 2) , K 2( 2) ,K, K 6( 2) , M

M

K1(8) , K 2(8) ,K, K 6(8) , K1(9) , K 2(9) , K 3(9) K 4(9) . 2. Postavljanje inicijalnih vrednosti 16-bitnih promenljivih: X 1 = m1 K m16 X 2 = m17 K m32 X 3 = m33 K m48 X 4 = m49 K m64 . 3. Za vrednost r počev od 1 do 8 realizuju se sledeće operacije:

145

• K1( r ) , X 2 = X 2 + K 2( r ) , X 3 = X 3 + K3( r ) , X 4 = X 4 ⊕ a ) X1 = X 1 ⊕ • K 4( r ) • ( X1 ⊕ X 3 ), t1 = K 6( r ) ⊕ • (t0 + ( X 2 ⊕ X 4 )), t2 = t0 + t1 b ) t0 = K5( r ) ⊕

c ) a = X 2 ⊕ t 2 , X 1 = X 1 ⊕ t1 , X 2 = X 3 ⊕ t1 , X 3 = a, X 4 = X 4 ⊕ t 2 . 4. Izlaznom transformacijom dobijaju se četiri 16-bitna bloka čijim se ulančavanjem dobija šifrat polaznog bloka otvorenog teksta. X3 X4 X1 X2 16 (1 )

K1

16

16

⊕

16 (1 )

16 K 2

⊕

K 5(1)

⊕

⊕

K 3 16

K1

Ciklus 1 K 6(1)

⊕

⊕

⊕

K 4(1)

⊕ ⊕

16

16

⊕

M M (9 )

16

(1 )

⊕ Ciklus:

M M (9 )

16

K2

(9 )

⊕

K3

16

16

Y3

Y1 Y2

2≤r≤8

(9 )

K4

Izlazna transformacija

Y4

Slika 6.6. Grafički prikaz IDEA algoritma

U prethodno navedenim koracima, oznake operatora imaju sledeće značenje:

• – množenje po modulu (216+1) ⊕ 16 + – sabiranje po modulu 2

⊕ – bitska ekskluzivna disjunkcija.

IDEA kriptografski algoritam je projektovan za izvršavanje na 16-bitnim procesorima, pri čemu se sve elementarne operacije izvode nad 16-bitnim podacima. Proces dešifrovanja se vrši na isti način kao proces šifrovanja, ali priprema ključa za dešifrovanje drugačije se realizuje i traje znatno duže od opisane procedure pripreme ključa za šifrovanje.

146

6.4.2. Asimetrični kriptografski algoritmi Asimetrični šifarski sistemi primenjuju različite ključeve za šifrovanje i dešifrovanje, tzv. javni i tajni ključ. Svaki korisnik poseduje par tajnog i javnog ključa, pri čemu javni ključ može da distribuira korisnicima sa kojima želi da komunicira. Postoji matematička veza između tajnog i javnog ključa određenog korisnika, pri čemu se iz tajnog ključa relativno lako može odrediti javni ključ, dok inverzan proces ne važi, tj. matematički je kompleksan problem da se na osnovu javnog ključa odredi tajni ključ [Đor02]. Svaki korisnik, koji poseduje javni ključ određenog vlasnika može da izvrši šifrovanje poruke, dok samo vlasnik tajnog asimetričnog ključa može da izvrši dešifrovanje poruke. Korisnik koji realizuje šifrovanje poruke primenom određenog javnog ključa ne može da izvrši njeno dešifrovanje primenom istog ključa. Potrebno je istaći dve značajne karakteristike asimetričnih algoritama: — Ukoliko se izvrši šifrovanje poruke primenom javnog ključa određenog korisnika, njeno dešifrovanje može se jedino izvršiti primenom tajnog ključa i — Ukoliko se izvrši šifrovanje poruke primenom tajnog ključa određenog korisnika, njeno dešifrovanje može se jedino izvršiti primenom odgovarajućeg javnog ključa.

Asimetrični kriptografski algoritmi prvobitno su razvijeni za zaštitu tajnosti. Međutim, visoka računarska zahtevnost ovih algoritama utiče na performanse sistema u kojima se koriste, tako da se ne preporučuje primena za zaštitu tajnosti informacija u sistemima sa velikim protokom informacija. U savremenoj kriptografiji asimetrični algoritmi često se koriste za realizaciju razmene simetričnih ključeva u aplikacijama koje primenjuju simetrične kriptografske algoritme (npr. razmena sesijskih ključeva). Primenom asimetričnih kriptografskih algoritama moguće je ostvariti funkcije provere integriteta, autentičnosti i neporecivosti. U literaturi je opisano više algoritama sa javnim ključem (RSA, Rabin, ElGamal, algoritmi na bazi eliptičkih krivih), ali sa stanovišta kvaliteta, otpornosti na različite vrste napada, načina implementacije, nisu svi podjednako efikasni. Bezbednost ovih postupaka zasniva se na računskoj složenosti određenih matematičkih operacija koje se primenjuju u datim sistemima. U daljem tekstu je dat opis RSA algoritma koji omogućava realizaciju funkcija tajnosti, proveru integriteta podataka, autentičnosti pošiljaoca i neporecivosti. 6.4.2.1. RSA algoritam U komunikacionim sistemima sa javnim ključem, svaki korisnik generiše javni i tajni ključ. Korisnik sistema dati javni ključ objavljuje ostalim učesnicima u komunikaciji koji mu mogu poslati kriptografski zaštićenu poruku primenom RSA algoritma, koristeći njegov poznati javni ključ. Algoritam transformacije je takav da omogućava samo korisniku kome je poruka namenjena da rekonstruiše originalnu poruku primenom svog tajnog ključa. 6.4.2.1.1. Matematička osnova RSA algoritma Asimetrični algoritam RSA je prvi put publikovan 1978. godine. Naziv je dobio po prvim slovima prezimena autora algoritma (R.L.Rivest, A.Shamir, L.Adleman). Teorijska osnova algoritma za realizaciju šifrovanja i dešifrovanja poruka prikazana je u sledećim teoremama [Toš95].

147

Teorema 1. Ako su brojevi a i n relativno prosti, tj. najveći zajednički delilac NZD (a, n ) = 1 , onda modularna jednačina a ⋅ x (mod n ) = 1 ima tačno jedno rešenje x manje od n, i to je takozvano nekongruentno rešenje. Teorema 2. (Ojlerova teorema (L. Euler)). Ukoliko su a i p uzajamno proste veličine (tj. NZD (a, p ) = 1 ), važi relacija: a ϕ ( p ) (mod p ) = 1,

(5)

gde je ϕ ( p ) broj pozitivnih brojeva manjih od p, koji su relativno prosti sa p. Posledica 2a. (Fermaova (P. Fermat) teorema o malim brojevima). Ukoliko je p prost broj i ako su a i p uzajamno proste veličine (tj. NZD (a, p ) = 1 ), važi relacija: a p −1 (mod p ) = 1 . (6) Posledica 2b. Ako je n proizvod prostih pozitivnih brojeva p, q (n = p ⋅ q ) i ako su a i n uzajamno proste veličine, onda je a ( p −1)⋅(q −1) (mod n ) = 1 . (7)

Algoritam za transformaciju poruka baziran na prethodno navedenim teoremama odvija se na sledeći način [Kob94]: – Neka je M poruka koju je potrebno transformisati. – Prvi korak u realizaciji algoritma jeste odabir prostih pozitivnih brojeva p, q i određivanje vrednosti proizvoda n = p ⋅ q. – U sledećem koraku bira se prirodan broj e, 1 < e < ( p − 1) ⋅ (q − 1) takav da je uzajamno prost sa proizvodom vrednosti ( p − 1) ⋅ (q − 1) (tj. NZD (e, ( p − 1) ⋅ (q − 1)) = 1 ). – Nakon odabira vrednosti za e, određuje se vrednost broja d takva da je e ⋅ d mod (( p − 1) ⋅ (q − 1)) = 1 . Proces transformacije poruka odvija se prema sledećoj proceduri. Ako se sa M označi numerički ekvivalent poruke M i prikaže u obliku M = M 1 M 2 K M k gde je 0 ≤ Mi < n, (i=1, 2, … , k), tada se za svako M i odredi: Ci = M i (mod n ). e

(8)

Poruka C = C1C 2 K C k predstavlja transformisani oblik poruke M i u datoj formi poruka M prenosi se primaocu preko komunikacionih kanala. Primalac vrši obnavljanje sadržaja izvorne poruke, tako što poznavajući vrednosti d, p i q, određuje: M i = Cid (mod n ), (9) i ulančavanjem formira originalnu poruku M = M 1 M 2 K M k . Korektnost navedenog načina transformacije i rekonstrukcije poruka direktna je posledica teoreme 2. Uređeni par (e, n ) predstavlja javni ključ a uređena trojka (d , p, q ) predstavlja tajni ključ RSA algoritma. Po bezbednosnoj klasifikaciji, prethodni algoritam pripada klasi računski bezbednih sistema. Sigurnost ovog algoritma bazira se na nepoznavanju efikasnog algoritma za faktorizaciju prirodnih brojeva i direktno zavisi od veličine broja n.

148

6.4.2.1.2. Analiza sigurnosti RSA algoritma Problem rekonstrukcije poruke M na osnovu poznavanja javnog ključa i transformisanog oblika poruke C u literaturi poznat je kao RSA problem (RSAP). Standardni način za rešavanje navedenog problema jeste da se faktoriše javni parametar n a zatim da se na osnovu vrednosti javnog eksponenta e odredi vrednost tajnog parametra d. Najbrži poznati algoritmi za faktorizaciju brojeva takvi su da im vremena izvršavanja predstavljaju ln(n ) ⋅ln(ln(n) )

), [Men97]. Postavljanjem odgovarajućih neopadajuću funkciju od broja O(e ograničenja vezanih za faktore broja n moguće je problem faktorizacije svesti u realne okvire. Međutim, izborom pogodnih parametara RSA algoritma problem faktorizacije je za dati broj n računarski složena operacija.

Sledeći korak kriptoanalize poruka, šifrovanih primenom RSA algoritma, bio je pokušaj da se ustanovi minimalan skup informacija koji omogućava efikasnu faktorizaciju broja n. Tako se došlo do tehnike koja omogućava efikasnu faktorizaciju n ukoliko se uz javni ključ e poznaje i tajni parametar d. Ova činjenica je samo pokazala da su problem faktorizacije broja n i određivanje vrednosti d računski ekvivalentni problemi. Kako se RSA algoritam pokazao prilično robusnim, razvijen je čitav niz tehnika kojima se omogućava da se propusti u implementaciji sistema zaštite, baziranih na datom algoritmu, iskoriste i da se otkriju informacije čiji se sadržaj kriptografski štiti. Dati postupci nazivaju se subliminalnim tehnikama oticanja informacija. Za razliku od navedenih aktivnosti koje su namerne, dešava se da se u prihvaćenim protokolima ili standardima koristi struktura koja može da utiče na smanjenu bezbednost sistema i da omogući olakšano otkrivanje informacionog sadržaja kriptografski zaštićenih poruka. Zbog uočenih slabosti u strukturi poruke definisane standardom PKCS#1, verzija 1 i verzija 1.5, definisana je nova verzija navedenog standarda PKCS#1 verzija 2, u kom su uočene slabosti ispravljene [RSA99]. Zbog povećane procesorske moći računara, u savremenom sistemu zaštite ne preporučuje se realizacija RSA asimetričnog kriptografskog algoritma sa dužinom ključa n manjom od 1024 bita. 6.4.3. Digitalni potpis i PKI sistemi Digitalni potpis (Digital Signature) predstavlja postupak kojim se određeni segment bloka podataka, ili standardizovane poruke, kriptografski obeležava potpisnikovim tajnim parametrom. Cilj razvoja tehnike digitalnog potpisa jeste realizacija elektronskog ekvivalenta rukopisnog potpisa.

Infrastruktura sistema za primenu javnih ključeva, PKI sistem (Public Key Infrastructure), predstavlja kombinaciju hardverskih i softverskih elemenata za realizaciju funkcija sistema sa primenom javnih ključeva, kao i pravila, procedure i institucije nadležne za njihovu primenu. 6.4.3.1. Tehnologija digitalnog potpisa Digitalni potpis određene poruke jeste numerička vrednost koja zavisi od tajnog ključa potpisnika i od sadržaja poruke koja se potpisuje. Navedeni mehanizam, osim algoritma za generisanje digitalnog potpisa, mora da sadrži i algoritam za verifikaciju digitalnog potpisa. Postoje dve osnovne kategorije mehanizama digitalnog potpisa [Men97]: mehanizam digitalnog potpisa sa pridodatom izvornom porukom (Digital signature schemes with appendix) i mehanizam digitalnog potpisa sa obnavljanjem izvorne poruke

149

(Digital signature schemes with message recovery). Kod mehanizma sa dodatom izvornom porukom uz digitalni potpis šalje se i poruka da bi prijemna strana mogla izvršiti proces verifikacije. Mehanizam potpisa sa pridodatom izvornom porukom može se realizovati primenom RSA DSA (Digital Signature Algorithm) algoritma, ECDSA (Elliptic Curve DSA) ElGamal algoritma, Schnorr algoritma itd.

originalna digitalnog algoritma, algoritma,

Kod mehanizma sa rekonstrukcijom izvorne poruke u procesu verifikacije digitalnog potpisa vrši se obnavljanje informacionog sadržaja kriptografski zaštićene poruke. Navedeni mehanizam se koristi kod poruka male bitske dužine i najčešće se realizuje primenom RSA algoritma, Rabin algoritma, Nyberg-Rueppel algoritma itd. U daljem tekstu opisani su mehanizmi digitalnog potpisa sa pridodatom izvornom porukom koji se najčešće primenjuju u savremenoj kriptografiji. Primenom navedenog postupka u realizaciji digitalnog potpisa, osim asimetričnih kriptografskih algoritama, koriste se kriptografske funkcije za kontrolu integriteta podataka. 6.4.3.1.1. Kriptografske funkcije za kontrolu integriteta podataka Osnovni kriptografski pristup za kontrolu integriteta podataka zasniva se na primeni kriptografskih kompresionih funkcija koje se u literaturi opisuju kao jednosmerne hash ili message digest funkcije. Kriptografske kompresione funkcije, H(M), izvršavaju se nad porukom M, proizvodeći kriptografski otisak date poruke, h=H(M), konstantne bitske dužine m.

Kriptografske kompresione funkcije treba da ispune sledeće zahteve [Sch96]: • Potrebno je da se, za datu poruku M, relativno jednostavno može odrediti njen kriptografski otisak h • Potrebno je da se, za dati kriptografski otisak h, teško može pronaći poruka M takva da je H(M)=h i • Potrebno je da se, za datu poruku M, teško može pronaći druga poruka M’ takva da obe imaju identične kriptografske otiske, tj. da je H(M)=H(M’). Za poruku čiji integritet treba proveriti određuje se vrednost kriptografske kompresione funkcije i pridružuje joj se kao njen nastavak. U trenutku provere integriteta poruke ponovo se određuje vrednost kriptografske kompresione funkcije i upoređuje se sa njenim nastavkom; ukoliko su date vrednosti jednake, zaključuje se da poruka nije menjana, u suprotnom je narušen integritet poruke. Na osnovu činjenice da li se, osim poruke, kao ulazni parametar kriptografskih kompresionih funkcija, koristi tajni ključ, razlikuju se dve osnovne kategorije navedenih funkcija: Kriptografske kompresione funkcije bez upotrebe tajnog ključa: • MD4 i MD5, • SHA1, • RIPEMD-128 i RIPEMD-160 i Kriptografske kompresione funkcije sa primenom tajnog ključa: • blok MAC, • sekvencijalni MAC.

150

Kriptografske kompresione funkcije sa primenom tajnog ključa nazivaju se funkcijama za proveru autentičnosti poruke (Message Authentication Code, MAC) pošto se, osim kontrole integriteta poruka, proverava i autentičnost pošiljaoca poruke. Kriptografske kompresione algoritme bez upotrebe tajnog ključa MD4 i MD5 (Message Digest, MD) prvi je objavio američki matematičar R. Rivest (Ron Rivest). Algoritam SHA1 (Secure Hash Algorithm) razvio je američki nacionalni institut (NIST) u procesu definisanja standarda za digitalni potpis (Digital Signature Standard, DSS). U okviru projekta zaštite Evropske Unije pod nazivom RIPE (Race Integraty Primitives Evaluation), razvijen je algoritam za kreiranje kriptografskog otiska poruke RIPEMD (RIPE Message Digest). U daljem tekstu je razmatrana realizacija MD5 kriptografskog kompresionog algoritma bez upotrebe tajnog ključa, koji se koristi u procesu kreiranja i verifikacije digitalnog potpisa čiji je način upotrebe specifikovan u okviru PKCS#1 standarda. 6.4.3.1.1.1. MD5 algoritam Algoritam MD5 obrađuje poruke maksimalne dužine 264 bita dajući kao rezultat kriptografsku kompresionu vrednost od 128 bita [Sch96]. U MD5 algoritmu, nakon inicijalizacije parametara, obrađuje se ulazna poruka u blokovima od 512 bita. Naime, ukoliko bitska dužina ulazne poruke po modulu 512 nije jednaka 448, proširuje se data poruka sa najmanjim brojem bita potrebnim za realizaciju prethodno navedenog zahteva. Proširivanje ulazne poruke realizuje se tako što se na kraj date poruke dodaje jedan bit jedinice, praćen potrebnim brojem binarnih nula. Nakon realizacije prethodno opisanog procesa, vrši se povezivanje 64-bitne reprezentacije dužine ulazne poruke na kraj poslednjeg bloka. Navedenim postupkom formira se poruka čija je dužina umnožak od 512 bita. Prilikom obrade u MD5 algoritmu, 512-bitni blokovi poruke dele se u šesnaest podblokova dužine 32 bita nad kojima se realizuju sve operacije. Rezultujuća vrednost algoritma predstavlja skup od četiri 32-bitna bloka, koji se povezuju tako da jednoznačno formiraju 128-bitnu vrednost otiska poruke.

Algoritam MD5 sastoji se od sledećih koraka: • Vrši se obrada poruke tako da njena bitska dužina bude umnožak broja 512 • Realizuje se inicijalizacija četiri 32-bitne promenljive (tzv. promenljive ulančavanja): A=01234567h B=89ABCDEFh C=FEDCBA98h i D=76543210h. • Nakon izvršenog procesa inicijalizacije, sekvencijalno se realizuje obrada svih 512bitnih blokova ulazne poruke (slika 6.7). Vrednost četiri inicijalizaciona parametra (A, B, C, D) kopira se u promenljive a, b, c i d. Obrada pojedinačnog bloka realizuje se u četiri faze. U svakoj fazi šesnaest puta se izvrši odgovarajuća funkcija, čiji rezultat zavisi od nelinearne obrade koja se realizuje nad tri od četiri promenljive (a, b, c ili d). Zatim se tako dobijeni rezultat sabira sa vrednošću četvrte promenljive, podblokom poruke i konstantom veličinom. Dobijeni rezultat se rotira ulevo za promenljivi broj bita i sabira se sa vrednošću jedne od četiri promenljive. Rezultat funkcije zamenjuje jednu od promenljivih a, b, c ili d (slika 6.8).

151

U svakoj fazi se primenjuje različita nelinearna funkcija: (Faza I) F(X,Y,Z) = (X ∧ Y) ∨ (( ⎤ X) ∧ Z), (Faza II) G(X,Y,Z) = (X ∧ Z) ∨ (Y ∧ (⎤ Z), (10) (Faza III) H(X,Y,Z) = X ⊕ Y ⊕ Z, (Faza IV) I(X,Y,Z) = Y ⊕ (X ∨ (⎤ Z )), gde navedeni funkcijski znaci predstavljaju logičke bitske operacije: (⊕ – “ekskluzivno ili“ funkcija, ∧ – “i“ funkcija, ∨ – “ili“ funkcija, i ⎤ – “ne“ funkcija). Blok poruke

A B C D

⊕

• •

Faza I

•

Faza II

Faza III

Faza IV

⊕ ⊕ ⊕

•

A B C D

Slika 6.7. Obrada bloka podataka u MD5 algoritmu

Sa Mj je predstavljen j-ti podblok poruke (j=0,…,15). Oznaka “