Утечка информации - Information leakage

Утечка информации определяет как действия по раскрытию информации неавторизованной стороне. Человеческий фактор вызывает проблему утечки информации. Человеческий фактор можно разделить на преднамеренные и непреднамеренные действия. Примером преднамеренных действий является то, что сотрудники рискуют отомстить компании из-за недовольства ею. Пример непреднамеренных действий: новые сотрудники пренебрегают рискованным поведением из-за чрезмерного энтузиазма по поводу новых идей.[1] Утечка информации происходит всякий раз, когда система должна быть закрыта для подслушивающий тем не менее раскрывает некоторую информацию неуполномоченным лицам. Например, при разработке зашифрованной сети обмена мгновенными сообщениями сетевой инженер, не способный взломать шифрование коды могли видеть, когда сообщения передаются, даже если он не мог их прочитать. Вовремя Вторая мировая война, то Японский использовали секретные коды, такие как ФИОЛЕТОВЫЙ. Даже до того, как такие коды были взломаны, некоторая основная информация могла быть извлечена о содержании сообщений, глядя на то, какие ретрансляционные станции отправляли сообщение дальше.

Проблемы дизайна

Разработчики защищенных систем часто забывают учитывать утечку информации. Классический пример этого - когда Французский Правительство разработало механизм, помогающий зашифрованной связи по аналоговой линии, например, в телефонной будке. Это было устройство, которое прикреплялось к обоим концам телефона, выполняло операции шифрования и отправляло сигналы по телефонной линии. К сожалению для французов, резиновое уплотнение, прикрепляющее устройство к телефону, не было герметичным. Позже было обнаружено, что, хотя само шифрование было надежным, при внимательном прослушивании можно было услышать говорящего, поскольку телефон улавливал часть речи. Утечка информации может незаметно или полностью разрушить безопасность системы, в остальном защищенной.[нужна цитата ]

Векторы риска

Современный пример утечки информации - утечка секретной информации через Сжатие данных, используя вариации степени сжатия данных для выявления корреляции между известным (или намеренно введенным) открытым текстом и секретными данными, объединенными в один сжатый поток.[2] Другой пример - утечка ключа, которая может произойти при использовании некоторых систем с открытым ключом, когда криптографический одноразовый номер значения, используемые в операциях подписи, недостаточно случайны. Плохая случайность не может защитить правильное функционирование криптографической системы, даже в благоприятных обстоятельствах, она может легко создать взламываемые ключи, вызывающие утечку ключа.[3][нужна цитата ]

Утечка информации иногда может быть преднамеренной: например, может быть поставлен алгоритмический преобразователь, который намеренно пропускает небольшие объемы информации, чтобы предоставить своему создателю возможность перехватывать сообщения пользователей, при этом позволяя пользователю поддерживать иллюзию, что система безопасна. Такая преднамеренная утечка иногда известна как подсознательный канал.[4][5]

Как правило, только очень продвинутые системы используют защиту от утечки информации.

Ниже приведены обычно применяемые контрмеры:

  • Использовать стеганография чтобы скрыть факт передачи сообщения.
  • Использовать трение сделать непонятным, кому передаются сообщения (но это не скрывает от других того факта, что сообщения передаются).
  • Для занятых ретрансляционных прокси, таких как Mixmaster узел: произвольно задерживать и перемешивать порядок исходящих пакетов - это поможет замаскировать путь данного сообщения, особенно при наличии нескольких популярных узлов пересылки, например, используемых с пересылкой почты Mixmaster.
  • Если значение данных больше не будет использоваться, удалите его из памяти.

Рекомендации

  1. ^ Вонг, Вай Пэн; Тан, Хви Чин; Тан, Ким Хуа; Ценг, Мин-Ланг (2019-07-08). «Человеческий фактор в утечке информации: стратегии смягчения последствий для целостности обмена информацией». Промышленный менеджмент и системы данных. 119 (6): 1242–1267. Дои:10.1108 / imds-12-2018-0546. ISSN  0263-5577.
  2. ^ Келси, Дж. (2002). «Сжатие и утечка информации открытого текста». Быстрое программное шифрование. Конспект лекций по информатике. 2365. С. 263–276. Дои:10.1007/3-540-45661-9_21. ISBN  978-3-540-44009-3.
  3. ^ Шнайер, Брюс; Фредриксон, Мэтью; Коно, Тадаёши; Ристенпарт, Томас (2015). «Тайное ослабление криптографических систем». Шнайер о безопасности. В архиве с оригинала 14 апреля 2019 г. Альтернативный URL
  4. ^ Рон Ривест (3 октября 2002 г.). «6.857 Примечания к лекции по компьютерной и сетевой безопасности 9: DSA / DSS, RSA, атака с выбранным зашифрованным текстом» (PDF). Массачусетский технологический институт. Получено 2012-09-14.
  5. ^ https://www.hindawi.com/journals/wcmc/2018/5823439/

Смотрите также