Файл: Классификация систем защиты программного обеспечения (Основные виды, средства и методы защиты информации).pdf

Для всех парольных систем существует угроза перехвата пароля при его вводе авторизованным пользователем. Кроме того, в большинстве СЗПО данного типа процедура проверки используется лишь единожды, обычно при регистрации или установке ПО, затем система защиты просто отключается, что создаёт реальную угрозу ПО.

Положительные стороны парольной защиты :

− надёжная защита от злоумышленника-непрофессионала;

− минимальные неудобства для пользователя;

− возможность передачи пароля/кода по сети;

− отсутствие конфликтов с системным и прикладным ПО и аппаратным обеспечением;

Отрицательные стороны парольной защиты:

− низкая стойкость большинства систем защиты данного типа;

− пользователю необходимо запоминать пароль/код.

Надежный пароль должен удовлетворять целому ряду требований:

а) пароль должен быть секретным:

• недопустимо отображение пароля на экране;
• записанный пароль нельзя хранить в местах, доступных неавторизованным лицам;[16, c. 217]
• файл паролей должен иметь надежную криптографическую защиту;
• возможности операционной системы и других программ по сохранению пароля должны игнорироваться, на предложение программ запомнить пароль нужно всегда отвечать отказом.

б) пароль должен быть длинным. Пароль должен состоять не менее чем из 8 символов, иначе он легко может быть взломан программами прямого перебора;

в) пароль должен быть трудно угадываемым. Недопустимо совпадение пароля с логином, использование в качестве пароля имени, фамилии, даты рождения, номеров телефонов пользователя или его родственников, кличек любимых домашних животных, названий спортивных клубов и т.п.

д) пароль не должен представлять собой распространенные слова, имена, названия для защиты от атаки со словарем.

е) пароль должен регулярно меняться, причем, желательно, чтобы изменения пароля осуществлялись не реже одного раза в 60-90 дней и не по графику, а случайным образом.

ж) пароль должен значительно отличаться от паролей, использовавшихся ранее.

и) каждый пароль должен использоваться уникально - только одним пользователем и для получения доступа только к одной из программ. Нельзя использовать один и тот же пароль для доступа к нескольким программам.

к) не должны использоваться подсказки к паролям. Следует игнорировать предусмотренные на случай, если пароль будет забыт предложения операционной системы или других программ ввести при задании пароля подсказку, указать дополнительные сведения или ответ на контрольный вопрос (например, о вашем росте, любимом блюде, девичьей фамилии матери, номере паспорта и т.п.), - злоумышленнику может оказаться значительно легче узнать (подобрать) ответ на подсказку, чем узнать пароль.[18, c.230]

л) пароль должен немедленно заменяться, если есть подозрения, что он мог быть раскрыт.

Парольную защиту целесообразней всего использовать в небольших фирма, организациях, где не осуществляется обработка секретной информации, а утечка не приведет к серьезным последствиям.

3.2 Системы «привязки» ПО

Системы этого типа при установке ПО на ПК пользователя осуществляют поиск уникальных признаков компьютерной системы либо они устанавливаются самой системой защиты. После этого модуль защиты в самом ПО настраивается на поиск и идентификацию данных признаков, по которым в дальнейшем определяется авторизованное или неавторизованное использование ПО. При этом возможно применение методик оценки скоростных и иных показателей процессора, материнской платы, дополнительных устройств, ОС, чтение/запись в микросхемы энергонезависимой памяти, запись скрытых файлов, настройка на наиболее часто встречаемую карту использования ОЗУ и т.п.

Слабым звеном такой защиты является тот факт, что на ПК пользователя ПО всегда запускается на выполнение, что приводит к возможности принудительного сохранения ПО после отработки системы защиты, исследование самой защиты и выявление данных, используемым СЗПО для аутентификации ПК пользователя [5, c. 340].

Положительные факторы:

− не требуется добавочных аппаратных средств для работы защиты;

− затруднение несанкционированного доступа к скопированному ПО;

− простота применения.

Отрицательные факторы:

− ложные срабатывания СЗПО при любых изменениях в параметрах ПК;

− низкая стойкость при доступе злоумышленника к ПК пользователя;

− возможность конфликтов с системным ПО.

Системы «привязки» ПО используются для предотвращения незаконного копирования программных продуктов и обеспечения лицензирования.

3.3 Средства защиты ПО с электронными ключами

Этот класс СЗПО в последнее время приобретает все большую популярность среди производителей ПО. Данные средства основаны на использовании так называемых «аппаратных (электронных) ключей». Электронный ключ - это аппаратная часть системы защиты, представляющая собой плату с микросхемами памяти и, в некоторых случаях, микропроцессором, помещенную в корпус и предназначенную для установки в один из стандартных портов ПК (COMM, LPT, PCMCIA, USB) или слот расширения материнской платы. Так же в качестве такого устройства могут использоваться СМАРТ - карты. По результатам проведенного анализа, данные средства защиты в настоящий момент являются одними из самых стойких систем защиты ПО от НСД. Защита программы основывается на том, что только разработчику известен полный алгоритм работы ключа.

Самыми стойкими являются системы с аппаратной частью второго типа. Такие комплексы содержат в аппаратной части не только ключ дешифрации, но и блоки шифрации/дешифрации данных, таким образом при работе защиты в электронный ключ передаются блоки зашифрованной информации, а принимаются оттуда расшифрованные данные. В системах этого типа достаточно сложно перехватить ключ дешифрации так как все процедуры выполняются аппаратной частью, но остается возможность принудительного сохранения защищенной программы в открытом виде после отработки системы защиты. Кроме того, к ним применимы методы криптоанализа.

Положительные факторы:

− значительное затруднение нелегального использования ПО;

− избавление производителя ПО от разработки собственной системы защиты;

− высокая автоматизация процесса защиты ПО;

− наличие API системы для более глубокой защиты;

− возможность легкого создания демо-версий;

− достаточно большой выбор таких систем на рынке.

Отрицательные факторы:

− затруднение разработки и отладки ПО из - за ограничений со стороны средств защиты;

− дополнительные затраты на приобретение системы защиты и обучение персонала;

− замедление продаж из-за необходимости физической передачи аппаратной части;

− повышение системных требований из-за защиты;

− снижение отказоустойчивости ПО;

− несовместимость систем защиты и системного или прикладного ПО пользователя;

− несовместимость защиты и аппаратуры пользователя;

− несовместимости электронных ключей различных фирм;

− снижение расширяемости компьютерной системы;

− наличие у аппаратной части размеров и веса;

− угроза кражи аппаратного ключа.

Средства защиты ПО с электронными ключами используются в тех случаях, когда необходимо отказаться от жесткой привязки программ к некопируемой ключевой дискете или конкретному компьютеру, а также освобождает пользователей от ряда неудобств, возникающих при использовании других способов защиты. Пользователь может свободно создавать резервные копии, переписывать защищенные программы с одного компьютера на другой, однако запускаться и работать эти программы будут только при подключении электронного ключа к параллельному порту компьютера.

3.4 Средства защиты ПО с ключевыми дисками

В настоящий момент этот тип систем защиты мало распространён, ввиду его морального устаревания. СЗПО этого типа во многом аналогичны системам с электронными ключами, но здесь критическая информация хранится на специальном, ключевом, носителе.

Основной угрозой для таких СЗПО является перехват считывания критической информации, а так же незаконное копирование ключевого носителя.[7, c.340]

Есть четыре основных способа создания не копируемых меток на дисках:

• считывание конкретного сектора диска. Это самый простой способ защиты, при копировании «дорожка в дорожку» диск копируется.
• запоминание сбойных секторов диска. Перед тем, как записать на диск информацию, его царапают (или прожигают лазером), после этого записывают номера сбойных секторов. Для проверки подлинности диска программа пытается записать в эти сектора информацию, затем считать её.

нестандартное форматирование дискеты. Известна программа FDA (Floppy Disk Analyzer), которая могла проводить исследование и копирование таких дискет.

«Плавающий бит». Один бит записывается так, что в некоторых случаях он читается как «0», в некоторых как «1». Проводится многократное считывание дискеты; среди результатов считывания должны быть и нули, и единицы .

Положительные факторы:

− значительное затруднение нелегального использования ПО;

− избавление производителя ПО от разработки собственной системы защиты;

− высокая автоматизация процесса защиты ПО;

− возможность легкого создания демо-версий.

Отрицательные факторы:

− затруднение разработки и отладки ПО;

− повышение системных требований из-за защиты;

− несовместимость систем защиты и системного или прикладного программного обеспечения пользователя;

− снижение отказоустойчивости ПО;

− несовместимость защиты и аппаратуры пользователя.

Средства защиты ПО с ключевыми дисками используются в основном для коммерческого распространения легальных программных продуктов, а именно при тиражировании гибких магнитных дисков (дискет) с записанными на них программами.

4. Анализ правовых средств защиты ПО

4.1 Лицензирование ПО

Суть любой из систем лицензирования заключается в том, что после установки программного обеспечения на локальный компьютер пользователю необходимо получить от производителя ключ, который был бы тем или иным образом привязан к компьютеру (в основном), хотя это может быть и банальный пароль, и вовсе необязательно этот ключ привязан к компьютеру. Системы лицензирования бывают как «одна лицензия - один компьютер» так и «одна лицензия - один пользователь». Как правило, для этих целей используют механизм заполнения анкеты на сайте производителя (для идентификации пользователей) + пересылку (на тот же сайт) специального идентификатора компьютера, на основе которого и выполняется генерация ключа. Как правило, в ключе, в зашифрованном виде, содержится информация о пользователе, продукте и числе лицензий.[8,c. 167]

Ярким представителем системы лицензирования является Globertrotter FlexLM - система лицензирования, которую используют многие компании, работающие на корпоративном рынке. Данной системой пользуются такие крупные компании как Rational, AliasWavefront и многие другие.(и ряд других компаний) предлагает два типа лицензий: Floating и Node Locked.- плавающий тип лицензий. Данный вид лицензий устанавливается на сервер и оговаривает число одновременно работающих машин в сети. То есть, имея 10 лицензий, с продуктом могут только 10 машин одновременно, но продукт можно инсталлировать на сколь угодно рабочих мест. Данный тип защиты позволяет продукту распространяться, но запускать его одновременно можно только на ограниченном числе машин. Защита наиболее эффективна на корпоративном рынке, где работает много специалистов. На лицо экономическая выгода, основывающаяся на том, что не все пользователи одновременно работают с одними и теми же программами. В случае корпоративного применения возможна экономия от 80% до 50% от общего числа необходимых лицензий.Locked - фиксированный тип лицензий. Данный способ защиты позволяет работать только на одной машине. Способ хорошо подходит для индивидуальных пользователей, которым необходимо работать только с одной рабочей машины. Как правило, стоимость Floating лицензии выше, чем Node Locked в силу вышеуказанных причин. Также лицензии делятся на две категории: постоянные и временные.

Временные - не привязываются к рабочей машине, не ограничивают в функциональности, но ограничивают срок пробной эксплуатации.

Постоянные - снимают все ограничения по срокам, но привязываются к конкретной машине.

Модули лицензирования типа FlexLM являются встроенными системами, то есть они встраиваются в программный продукт уже после его окончательной разработки. Лицензия FlexLM запрашивается либо в момент старта продукта, либо при выполнении определенных операций [14, c. 156].

Для идентификации машины используется множество способов. Вот основные способы привязок:

− привязка к серийному номеру жесткого диска;

− привязка к MAC-адресу сетевой карты;

− привязка к контрольной сумме BIOS;

− привязка к различным характеристикам системы.

4.2 Патентование ПО

Программы не являются объектами промышленной собственности, а являются объектами авторского права. Тем не менее, в отличие от других объектов авторского права, Российское патентное ведомство осуществляет официальную государственную регистрацию программ и выдает соответствующие свидетельства о регистрации [13, c. 156]. Правовая защита распространяется на все виды программного обеспечения для ПК (в том числе на операционные системы и программные комплексы), которые могут быть выражены на любом языке и в любой форме, включая исходный код